토스, 20일 밤 디도스 공격받아
초당 30GB 수준…신 플러딩 수법
경찰 신고·고객 안내 별도로 없어
“금융권 기업, 큰 피해 번질 수도”

모바일 금융플랫폼 업체 토스(비바리퍼블리카)가 악성 트래픽을 대량으로 보내는 디도스(DDoS) 공격을 받은 것으로 확인됐다. 핀테크를 비롯한 금융사들에게는 사이버 공격 주의보가 내려졌다.

22일 금융권에 따르면 금융보안원은 전날 금융기관에 “일부 금융회사를 대상으로 한 디도스 공격이 발생했다”며 사이버 공격에 대한 주의를 당부했다. 토스는 지난 20일 오후 11시 16분쯤 디도스 공격으로 인해 토스 애플리케이션(앱) 내 일부 기능에서 속도가 느려지는 장애가 발생했다. 공격 유형은 ‘신 플러딩’(SYN Flooding)으로 신(SYN)패킷을 과도하게 서버에 전송해 부하를 발생시키는 수법이다. 디도스 공격 수법 가운데 가장 흔한 유형이다. 토스에 대한 공격 규모는 최대 초당 30GB(기가바이트) 수준이었다. 이기혁 중앙대 융합보안학과 교수는 “초당 30GB 수준의 공격이 작은 규모는 아니다”면서 “디도스 공격을 잘 방어하기 위해서는 외부에서 들어오는 패킷의 정상 여부를 가리는 시스템과 모니터링을 강화할 필요가 있다”고 말했다.

토스는 공격 다음날인 21일 전자금융감독규정에 따라 금융감독원에 디도스 공격 사실을 구두·서면 보고했다. 토스는 서버 마비나 고객 정보 유출은 없었고 공격 발생 당일 모두 방어했다는 입장이다. 토스 관계자는 “이번 공격은 보안이 취약한 사물인터넷(IOT)기기를 대량 감염시켜 디도스 공격에 활용하는 미라이 봇넷(MIRAI Botnet)과 관련된 것으로 보인다”고 밝혔다.

토스에 대한 디도스 공격을 누가 했는지는 확인되지 않았다. 토스는 별도로 수사기관에 신고하지 않았고, 고객에게도 별도로 공지하지 않았다. 김현걸 한국사이버보안협회 회장은 “금융 관련 기업은 사이버 공격으로 전산이 마비되면 큰 규모의 피해가 발생할 수 있다”며 “하지만 대부분 신고 의무가 없는 데다 기술 노출이나 회사 이미지 실추 등을 우려해 외부에 알리기를 꺼리는 경우가 많다”고 말했다.

토스뿐 아니라 금융권 전반의 사이버 공격 위협은 커지고 있다. 정보보안 기업 SK쉴더스는 이날 ‘2022년도 상반기 보안 트렌드 및 사이버 팬데믹 보안 위협 전망’ 미디어 세미나에서 “상반기 전 세계 사이버 공격 피해 사례의 25%가 금융권에 집중됐다”고 밝혔다.