농협, 30% PC 장애 25일 부팅디스크 배포

3.20 방송 금융 전산대란이 일어난 지 일주일이 지났지만, 그 여진은 계속되고 의혹은 좀처럼 해소되지 않고 있다.

26일에는 YTN과 일부 지방자치단체 인터넷망이 마비되는 등 디도스(DDoS) 공격 성격의 장애가 잇따랐다.

특히 업계 일각에서는 신한은행 서버 장애는 외부공격이 아닐 가능성이 있다는 주장이 제기되고, 그 근거가 하나둘씩 알려지면서 파문이 확산되고 있다.

금융감독당국은 신한은행 전산장애가 외부해킹이 아닌 프로그램 작업 중 내부 인력에 의한 장애로 밝혀질 경우, 특단의 대책을 강구할 것이라고 밝혔다.

◆신한은행, 주전산기 다운의 원인 ‘의혹’ = 20일 외부 공격이 시작된 시점은 2시 전후로 알려졌다.

대체적으로 PC가 적게는 수십대에서 많게는 수백대씩 꺼진 후 다시 부팅되지 않는 현상으로 업무가 마비되기 시작한 것이다.

방통위는 당일 발표를 통해 ‘PC의 부트섹터를 공격, 재부팅을 방해하는 악성코드’라고 발표, 3.20 전산대란은 서버 공격이 아닌 PC공격으로 성격을 규정했다.

농협이 경기도 용인 죽전 지점 이상을 감지한 시각은 2시 10분경, 확산되기 시작한 시각은 2시 20분경, 서버 공격을 우려, 외부망 연결을 차단을 결정한 시간은 그 5분후, 외부망 차단을 시작한 시간은 2시 30분경이다.

그러나, 유독 신한은행 주전산기는 2시 15분 전후에 다운된 것으로 알려졌다. 공격 시작과 동시에 다운됐다는 얘기다. 시간적으로 ‘너무 정교하게’ 맞아 떨어진다.

신한은행 관계자 “외부해킹 가능성이 있다. PC 윈도 프로그램이 훼손되면 PC가 다운되고 치유 등 조치를 취하 듯 이번 주전산기 다운은 오라클 DB서버의 환경변수 파일이 훼손되면서 원인을 제공했다. 악성코드가 오라클 환경 변수를 딜리트(삭제)했다”고 설명했다.

업계에서는 그러나 ▲유닉스 서버와 윈도 PC를 동시 공격하는 유형은 드물다는 것 ▲농협도 같은 오라클 DBMS를 사용한다는 점 ▲오라클 DB가 위치한 서버가 HP기종으로 농협도 같은 HP기종의 서버를 사용한다는 점 ▲방송 3사, 농협에 비해 공격받은 PC의 수가 크게 적다는 점 그리고 PC 성격에 대해 신한은행 내 다른 목소리가 나온다는 점 등 이유를 들어 신한은행 장애는 자체 프로그램 작업 중 사고였을 가능성을 제기했다.

보안업체들도 이같은 공격은 흔하게 접하지 못한 방식이라고 입을 모은다.

신한은행 측은 “오라클 환경변수는 실시간으로 변하는 데이터가 아니다. 전날 백업 받은 환경변수 데이터를 찾아 복구했다”고 전했다.

이 얘기는 그다지 자주 사용하지 않는 데이터를 왜 공격했는지에 의문과 함께 그 정도 공격력이라면, 2011년 농협 ‘데이터 삭제’ 같은 명령어를 사용, 혼란을 더 부추겼을 것이라는 추론이 가능하다.

또 이 얘기는 오라클 DBMS에 현격한 보안 취약점이 드러나 있다는 얘기가 된다. 논란이 촉발될 것으로 보인다.

아울러 농협은 보유 PC 중 30%가 공격을 받았고, PC 훼손상태도 심각한데 신한은행은 고작 162대에 불과했다.

물론, 신한은행은 작년 마이크로소프트 ‘MED-V’ 솔루션으로 논리적 망 분리를 실현했다.

또 신한은행 PC 운영방식은 ‘액티브 디렉토리’를 적용, 사용자 권한관리가 적용돼 있어 바이러스가 손쉽게 파일을 삭제하기 어려운 구조라는 설명이다.

그런데, 취재 과정에서 신한은행 내 두 목소리가 나오는 것을 확인할 수 있었다.

IT기획부는 162대 PC 모두가 은행에 파견된 자회사 직원들이 가져온 PC였다고 밝혔지만, 다른 고위관계자는 지역 및 본부부서 PC라고 말했다. 논란이 예상된다.

정리하면, 신한은행 주전산기는 장애일 가능성과 함께 PC에 대한 악성코드 공격을 받았지만 제대로 방어한 사례로 추론된다.

◆농협중앙회, 약 30% PC 피해 = 농협중앙회 IT본부는 현재 자사 보유 PC 중 약 30% 가량이 피해를 입은 것으로 보인다.

농협이 중앙회, 회원조합 보유 전체 PC 수를 공개하지 않아 수천대가 피해를 입었을 것으로 추정중이다.

금융감독당국은 3월 20일 기준, 전체 ATM기 4148대 중 1979대(47.7%)로 추산했다.

25일부터 농협은 이들 PC에 대해 부팅디스크를 제작, 배포했고 부팅이 이뤄진 후 모든 PC 내 데이터를 백업한 후 PC 전체를 포맷하는 식으로 대응책을 마련했다.

이에 따라 수천대를 일시에 복구하기는 어려워 모든 PC가 정상에 이르기까지 상당한 시일이 소요될 것으로 보인다.

아울러 금융IT 업계에서는 금융권 망분리 구축이 보다 가속도를 붙일 것으로 예상된다.

<김동기 기자>kdk@bikorea.net