[국내보안뉴스] 국내 금융권 해킹 용의자 추적… 중국계 사이버범죄 커뮤니티서 구체적 단서 포착
· 2026-10-10 12:00
· 조회 14
· 원문 ↗
최근 국내 금융권을 겨냥한 연쇄 해킹 사건과 관련해 사이버 위협 인텔리전스(CTI) 전문 기업 스텔스몰(StealthMole)이 용의자의 추적 범위를 넓혀 구체적인 신원 단서를 확보했습니다. 조사팀은 용의자가 활동했던 중국어권 사이버범죄 커뮤니티 전체를 대상으로 분석을 확대했으며, 텔레그램 계정과 깃허브(GitHub), 과거 정보탈취형(Infostealer) 악성코드 감염 기록 간의 유기적 연결고리를 밝혀냈습니다.
이번 조사에서는 커뮤니티 운영진 및 구성원 관련 계정 19개의 역할과 활동 내역이 구체적으로 분석되었습니다. 특히 특정 인물의 텔레그램 활동과 개발 플랫폼 깃허브 계정, 그리고 악성코드 감염 로그에 남겨진 정보가 연계되면서 전화번호 2개와 IP 주소 3개 등 용의자를 특정할 수 있는 결정적인 흔적이 수면 위로 드러났습니다. 이는 다수의 플랫폼에 걸친 디지털 흔적을 연계 분석하여 공격자의 실체를 추적한 주요 사례입니다.
금융기관을 노리는 해커 조직은 교묘하게 신분을 위장하지만, 이처럼 텔레그램이나 코드 저장소 등에 남긴 사소한 흔적들이 수사 및 추적의 결정적 단서가 됩니다. 금융권 및 주요 기업 보안팀은 CTI 전문 기업과의 협력을 통해 수집된 침해지표(IoC) 및 유출 정보를 신속히 공유받아 관련 IP와 악성 요소를 차단 목록에 즉시 반영해야 합니다.
아울러 정보탈취형 악성코드가 초기 침투의 주요 수단으로 활용되는 만큼, 임직원 기기의 악성코드 감염 여부를 주기적으로 점검하고 강력한 다중인증(MFA) 제도를 도입해야 합니다. 또한, 외부 코드 저장소나 범죄 커뮤니티로의 내부 계정 정보 유출 여부를 상시 모니터링하는 등 선제적 보안 관리 체계를 강화할 필요가 있습니다.
공격자조차 깃허브 커밋 기록이나 계정 연결고리를 통해 흔적을 남긴다는 점은 개발자 관점에서도 시사하는 바가 큽니다. 개발팀은 CI/CD 파이프라인에 시크릿 스캐닝(Secret Scanning)을 의무화해 소스코드 내 내부 IP나 민감 정보가 외부로 유출되는 것을 원천 차단해야 합니다. 또한 정보탈취형 악성코드(Infostealer)에 의한 크리덴셜 유출을 막기 위해 사내 개발 환경에 제로 트러스트 기반의 엄격한 세션 관리 아키텍처를 적용할 필요가 있습니다.
이번 사건은 공격자가 인포스틸러(Infostealer)로 탈취한 계정과 깃허브, 텔레그램을 연계해 침투 기반을 마련했음을 보여주며, 초기 침투 단계에서 자격 증명(Credential) 재활용 공격의 효용성이 얼마나 높은지 입증합니다. 공격자 측의 작전보안(OPSEC) 허점으로 신원이 특정되긴 했으나, 이러한 계정 탈취 기반의 초기 침투 벡터는 여전히 금융권 시스템을 뚫는 가장 위협적이고 가성비 높은 수단입니다. 금융기관은 단순 내부 인프라 취약점 점검을 넘어, 다크웹과 텔레그램 등 외부에 유출된 임직원 계정 인텔리전스를 실시간으로 수집하고 차단하는 선제적 공격 표면 관리가 시급합니다.
이번 사건은 다크웹뿐만 아니라 텔레그램과 깃허브 등 오픈 플랫폼이 공격의 거점으로 광범위하게 활용되고 있음을 명확히 보여줍니다. 기업은 내부 자산 유출 방지책을 재점검하고 사이버 위협 인텔리전스(CTI)를 활용한 모니터링 체계를 보안 거버넌스 차원에서 강력히 정례화해야 합니다. 단순한 침입 방지를 넘어, 연계된 위협 지표(IoC)를 신속히 식별하고 선제적으로 차단하는 능동적 방어 체계로의 전환이 시급합니다.