🚨 은행이 뚫린 뒤, 정부가 모든 기업에 같은 숙제를 냈습니다
국내 금융권을 겨냥한 침해사고가 잇따르자, 한국인터넷진흥원(KISA)이 10월 3일(토) 긴급 권고를 내놨습니다.
대상은 금융권만이 아닙니다. 모든 기업과 기관입니다.
요지는 간단합니다.
공격자가 처음 들어오는 문(웹·API·인증정보)부터 잠그고, 들어오더라도 안쪽까지 못 가게, 정보를 못 빼가게 막으라는 것입니다.
1. 무슨 권고인가
10월 3일(토) KISA 긴급 권고
기업 보안강화 권고 개요 [01]
| 구분 | 내용 |
| 제목 | 최근 사이버공격 대비 기업 보안강화 권고 |
| 발표 | KISA (보호나라 보안공지, 10월 3일(토)) |
| 배경 | 국내 금융권·민간기업 대상 다수 침해사고 |
| 우선 점검 | 웹·API 취약점, 인증정보 노출 |
| 구성 | 5대 점검 영역 + 침해 의심 시 대응 방안 |
과기정통부와 KISA는 침해사고 모니터링 단계도 '관심'에서 '주의'로 올렸습니다.
10월 4일(일)에는 CISO 신고기업 약 2만 8천 곳에 보안점검 권고 메일도 보냈습니다.
📌 공격 수법은 아직 조사 중입니다
금융권 사고는 금융당국 중심으로 조사가 진행되고 있습니다.
공격자와 침투 경로가 다 밝혀지지 않았기 때문에,
"우리 회사는 금융사가 아니니 괜찮다"고 넘기기 어려운 상황입니다.
⭐ 2. 5대 점검 영역
공격 순서대로 막는다
5대 점검 영역 [02]
이번 권고에서 가장 눈여겨볼 부분입니다.
다섯 영역이 공격자가 실제로 움직이는 순서대로 짜여 있습니다.
| 영역 | 우선 점검 | 이런 움직임을 감시 |
| ① 외부 노출 | 미사용 서비스 차단, 관리 기능 접근 제한 | 여러 경로 반복 접근, 설정·백업 파일 조회 |
| ② 웹·API | 데이터·기능별 권한 검증, 조회 범위 제한 | 식별자 바꿔 연속 조회, 거부 후 우회 조회 |
| ③ 계정·인증 | 관리자 MFA, 노출 키 폐기, 최소권한 | 새 환경에서 인증정보 사용, 권한 확대 |
| ④ 서버·내부망 | 서비스 계정 권한 축소, 통신 제한 | 웹서버 비정상 명령, 내부 탐색 |
| ⑤ 정보·대응 | 다운로드 제한, 로그 통합, 초동대응 | 순차 대량 조회, 로그 삭제·수집 중단 |
💡 읽는 법
①~③은 문을 잠그는 일, ④는 들어온 뒤 퍼지는 걸 막는 일,
⑤는 나가는 걸 잡는 일입니다.
한 단계가 뚫려도 다음 단계에서 멈추게 하라는 구조입니다.
3. 웹·API 취약점
로그인 확인만으론 부족하다
웹·API 주요 취약 지점 [03]
권고가 가장 구체적으로 짚은 영역입니다.
핵심은 "로그인했는지"와 "이 데이터를 볼 권한이 있는지"는 다른 문제라는 점입니다.
| 취약점 | 어떻게 당하나 | 권고 조치 |
| IDOR | 주소창 번호만 바꿔 남의 정보 조회 | 요청마다 서버에서 권한 검증 |
| 인젝션 | 입력값이 DB 명령으로 실행 | 매개변수화 쿼리 |
| SSRF | 서버를 시켜 내부·클라우드 정보 요청 | 허용 목적지만 통신 |
| 과다 조회 | 조금씩 대량으로 긁어감 | 호출·건수·용량 제한 |
특히 시험 계정을 만들어 직접 번호를 바꿔 보라는 주문이 눈에 띕니다.
문서로 점검하지 말고, 공격자처럼 실제로 시도해 보라는 뜻입니다.
🛠️ 실무 팁 · 클라우드를 쓴다면
SSRF로 노리는 대표 목표가 클라우드 인스턴스 메타데이터입니다.
AWS라면 IMDSv2 강제 적용 여부부터 확인해 보세요.
권고 원문의 '클라우드 인증정보 제공 경로 통제'와 같은 맥락입니다.
4. 인증정보·내부 확산
뚫려도 안쪽까지는 못 가게
계정 보호와 내부 확산 방지 [04]
공격자는 취약점보다 흘린 비밀번호와 키로 들어오는 경우가 많습니다.
⚠️ 삭제는 조치가 아닙니다
코드 저장소나 협업도구에 키가 노출됐다면
게시물을 지우는 것만으로는 부족합니다.
폐기·교체하고, 그 키가 언제 누구에게 쓰였는지까지 조사하라는 게 권고 내용입니다.
| 대상 | 권고 조치 |
| 관리자·원격접속 | 다중인증(MFA) 필수, 업무계정과 분리 |
| 연동 계정·접근키 | 필요한 권한만, 유효기간 짧은 임시 인증정보 |
| 유지보수 외부 계정 | 최소권한 + MFA, 사용 후 반드시 제거 |
| 웹·앱 실행 계정 | 관리자 권한 제거 |
| 파일 업로드 경로 | 스크립트 실행 금지 (웹셸 차단) |
| 백신·EDR | 작동 확인, 웹서버 비정상 명령에 경보 |
유지보수 업체 계정을 작업 끝나고도 그대로 두는 경우가 적지 않습니다.
네트워크 접속 연결도 똑같이 정리하라고 명시돼 있습니다.
5. 유출 탐지·사고 대응
조금씩 새는 것도 잡아라
정보 유출 탐지와 침해 의심 시 대응 [05]
마지막 방어선은 로그입니다.
웹·인증·서버·DB·클라우드 로그의 시간을 맞춰야 공격 흐름을 이어서 볼 수 있습니다.
🔎 저속 유출을 놓치지 마세요
한 번에 대량으로 빼가면 금방 티가 납니다.
그래서 공격자는 소량씩 오래 가져갑니다.
권고는 단시간 탐지와 장시간 누적 분석을 함께 하라고 합니다.
| 상황 | 할 일 |
| 침해 의심 | KISA 보호나라(boho.or.kr) 신고, 국번 없이 118 |
| 의심 시스템 | 네트워크에서 신속히 격리 |
| 증거 | 로그·증적은 훼손·변조 없이 보존 |
격리할 때 서버를 바로 초기화하면 원인 분석이 어려워집니다.
격리 먼저, 증거 보존, 그다음 신고 순서를 미리 정해 두는 게 좋습니다.
📌 3줄 요약
1. KISA가 10월 3일(토) 금융권 연쇄 해킹 이후 모든 기업에 보안강화를 긴급 권고!
2. 최우선 점검은 웹·API 권한 검증과 인증정보 노출, 관리자 계정은 MFA 필수!
3. 뚫려도 퍼지지 않게, 새도 잡히게, 의심되면 격리 후 118 신고!
새로운 보안 지침이라기보다, 기본을 지금 당장 다시 확인하라는 경고에 가깝습니다.
우리 회사의 외부 노출 자산 목록부터 꺼내 보시길 권합니다 🔐
※ 이 글은 2026년 10월 3일(토) KISA 보호나라에 공지된 권고문과 10월 14일(수)까지의 언론 보도를 정리한 것입니다. 금융권 침해사고는 조사가 진행 중이며, 특정 기관의 책임을 단정하지 않습니다. 기업 환경에 따라 적용 방법이 다를 수 있으니 세부 조치는 보호나라 원문과 보안 전문가 검토를 거쳐 적용해 주세요.
'IT 이모저모' 카테고리의 다른 글
| AI 사이버공격 대비 — CEO 수칙 7가지와 실무 6영역 (0) | 2026.10.17 |
|---|---|
| KISA 보안 강화 권고 — 5단계로 보는 점검 항목 (0) | 2026.10.16 |
| 보안 전문가는 무엇을 읽는가 — 기술 매거진 4선 (0) | 2026.10.15 |
| 실제 침해사고로 본 서버 보안 설정 — 피해를 키운 건 기본 설정이었다 (0) | 2026.10.14 |
| 침해사고 신고는 언제, 어디로 — 24시간·72시간의 차이 (0) | 2026.10.13 |
