금융권, PHP 취약점 긴급대응 나서…AI 해킹에 이어 '보안 비상'

[이데일리 임유경 기자] 금융권이 웹서비스 개발에 널리 쓰이는 프로그래밍 언어 ‘PHP’에서 발견된 치명적 취약점에 대응하기 위해 긴급 점검에 나섰다. 금융당국은 전 금융회사에 보안 권고와 패치 설치를 안내하고 조치 상황을 실시간으로 확인하고 있다. 인공지능(AI)을 활용한 해킹에 뚫려 신뢰에 타격을 입은 상황에서 새로운 보안 위협까지 겹치자 금융권의 긴장감이 높아지고 있다.

23일 금융권에 따르면 PHP 재단이 한국시간으로 지난 21일 새벽 중대한 보안 업데이트를 예고한 이후 금융보안원과 금융감독원을 중심으로 전 금융권이 PHP 취약점 대응에 기민하게 움직이고 있다.

(이미지=AI 생성)

금보원은 지난 21일 오후 사이버위협 정보공유 플랫폼 ‘FCTI’를 통해 위협 분석 보고서와 보안 권고를 게시해 대비할 것을 요청하고, 같은 날 밤 11시 보안 패치가 배포되자 보안 업데이트 권고를 추가 게시했다. 이후 금감원은 금융권에 PHP 사용 시스템 전수조사를 지시하고, 실제 패치가 진행되고 있는지를 실시간으로 점검 중이다.

최근 AI를 활용한 연쇄 해킹에 뚫린 은행권은 특히 추가 공격 가능성에 촉각을 곤두세우고 있는 모양새다. 시중은행과 인터넷은행 대부분은 시스템 내 PHP 사용 여부 전수조사를 마치고, 필요한 경우 패치 작업을 진행하고 있다. KB국민은행 관계자는 “금융당국 권고에 따라 PHP 취약점 긴급 점검을 실시하고 보안장비의 탐지·차단 체계를 강화했다”며 “점검 결과에 따른 패치 등 필요한 보안 조치를 신속히 추진하고 있으며, 관련 공격 시도에 대한 모니터링도 지속 강화할 예정”이라고 말했다.

이번에 공개된 취약점 2건은 해커가 별도의 인증 없이 원격 코드를 실행해 서버를 장악할 수 있는 PHP 자체 결함으로 확인됐다. 위험도를 평가하는 공통 취약점 평가 시스템(CVSS) 4.0 기준 10점 만점에 각각 9.2점을 받아 ‘치명적’ 취약점으로 분류된다.

보안 패치를 적용하기 전 해커가 취약점을 악용해 공격에 성공하면 개인정보 유출로 이어질 가능성도 있다. 개인정보보호위원회는 PHP 기반 데이터베이스(DB) 관리 도구인 phpMyAdmin 등이 외부에 노출돼 있거나 과도한 DB 접근 권한을 가진 경우 대량의 개인정보에 접근할 위험이 있다고 경고했다.

PHP는 과거부터 웹사이트와 웹서비스의 서버 측 기능을 구현하는 데 널리 쓰인 프로그래밍 언어로, 금융권에서도 취약 버전이 사용된 시스템이 적지 않을 것으로 추정된다. 한 보안업계 관계자는 “금융권이 차세대 프로젝트를 많이 진행했더라도 모든 웹서비스를 다 새롭게 바꾸진 않았기 때문에 일부 사이트에는 PHP가 여전히 사용되고 있을 것”이라고 전했다.

인터넷 자산 검색업체 센시스에 따르면 한국 소재 PHP 서비스 중 취약 버전(5.4부터 8.5까지)을 사용하는 것으로 관측된 대상은 48만 3728개에 이른다.

한국인터넷진흥원(KISA)과 개인정보보호위원회는 점검 대상에 외주 제작 사이트와 오래된 사이트, 이벤트·테스트 서버, 관리자 페이지뿐 아니라 PHP가 내장된 장비·솔루션도 포함할 것을 권고하고 있다. 또 해당 취약점이 악용되면 웹서버 침해뿐 아니라 연계된 DB에 저장된 이용자 개인정보까지 유출될 우려가 있으므로 DB 관리 도구의 인터넷 직접 접근을 제한하고, 웹서비스 계정의 개인정보 DB 접근 권한을 최소화할 것을 권고했다.