무선랜 보안 취약한 금융권, 시한폭탄

무선랜 보안의 취약성을 이용해 은행전산망에 침입을 시도한 해커 일당이 적발되면서 금융업계의 허술한 보안 상태가 말 그대로 언제 터질 지 모를 시한폭탄이 되고 있다.

소수 은행을 제외한 금융권 대부분이 무선랜 보안을 제대로 갖추지 않고 있어 이를 악용한 또다른 해킹사고 가능성을 배제할 수 없기 때문이다. 이에따라 이번 기회에 전산 시스템뿐만 아니라 무선랜 구간의 보안에도 눈을 돌려야 한다는 지적이다.

16일 업계 및 경찰청 사이버테러대응센터등에 따르면 금융권 해킹사고가 잇따르면서 무선랜 보안 등 근본적인 대책마련이 시급한 것으로 나타났다.

지난 15일 경찰청 사이버테러대응센터는 제2금융권인 인천 모아저축은행을 해킹한 미국인 해커 J씨를 검거했다.

J씨는 지난 4월말 모아저축은행에서 관리하는 대출정보 관리시스템 등을 해킹, 은행의 전산시스템을 통제할 수 있는 '루트권한'을 확보했던 것으로 드러났다.

앞서 지난 11일 서울지방경찰청 외사과는 서울 명동의 하나은행과 외환은행을 잇따라 해킹하려던 해커 일당을 검거했다.

이들은 노트북 컴퓨터에 무선랜카드와 지향성 안테나를 장착, 해킹 프로그램을 이용해 정상적인 무선랜 구간에서 유통되는 금융정보를 바탕으로 은행 내부 네트워크 침입을 시도했던 것으로 나타났다.

◆무선랜 해킹툴로 내부 내트워크 침투 가능

경찰은 국정원과 공조해 사전에 범행 관련 첩보를 입수했으며, 해당 은행에 사전 통보해 해킹 시도 현장에서 피의자 일당을 검거할 수 있었다.

이와관련 해당은행은 큰 문제가 없다는 주장이지만 보안전문가들은 사태의 심각성을 경고하고 있다.

은행측은 "사용자 PC의 무선랜카드와 AP 사이에 주고받는 데이터를 암호화하는 방식인 WEP 인증방식을 적용하고 있고, 애플리케이션단에서 서버와 클라이언트간 주고받는 데이터를 암호화하기 때문에 해커가 금융정보를 유출할 수 있는 방법은 없다"고 주장했다.

반면 보안 전문가들은 "만약 해커가 해킹에 성공했다면 막대한 피해를 입을 가능성도 배제할 수 없었다"고 주장했다.

현재 시중에서 암암리에 거래되는 무선랜 해킹툴인 '에어크랙'과 '웹크랙' 등을 이용하면 누구나 쉽게 인터넷 공유기의 고유 식별번호인 맥(MAC)주소와 무선랜과 내부 네트워크를 연결하는 장치인 AP정보를 알 수 있다.

또 무선랜카드와 AP사이에 설정된 비밀번호인 WEP키도 손쉽게 빼낼 수 있다.

해커가 자신의 PC에 무선랜 카드를 장착하고, 빼낸 WEP키를 설정하면 정상적인 사용자처럼 은행 내부 네트워크에 얼마든지 접근가능하다.

◆데이터 암호화 근본적 대책 안돼

내부 네트워크를 침투할 경우 각종 서버들의 계정정보를 빼낼 수 있으며, 내부 PC에 각종 웜을 유포할 수도 있다.

해커가 WEP키를 알아내 내부 네트워크에 침입했다면, 서버와 전산시스템에 접근 가능한 관리자 계정까지 도용하는 사태에 이를 수 있다는 게 보안전문가의 주장이다.

단, 은행측의 주장처럼 애플리케이션단에서 데이터를 암호화하면 WEP키가 노출되더라도, 데이터가 암호화된 채로 보이기 때문에 해커가 금융정보를 바로 알아챌 수는 없다.

문제는 데이터에 대한 유출은 막을 수 있지만, AP 침입을 통한 은행 내부 네트워크에 대한 해킹은 근본적으로 막을 수 없다는 것이다.

유넷시스템 이상준 연구소장은 "최근 미국인 해커에게 전산망이 뚫린 인천 모아저축은행의 경우도 결국에는 내부 네트워크를 장악당한 경우일 것"이라며 "무선랜 구간을 최소화하고 무선랜 인증 및 보안시스템을 갖춰 해킹 사고에 적극 대비해야 한다"고 말했다.