랜섬웨어 조직 n0n이 이번 주 핀테크 기업 Finzly의 방화벽 설정 파일과 암호·키 정보를 공개했다. 유출 자료에는 Finzly 고객이 사용하는 결제 인프라와 연방준비제도(연준) 연결 경로, FedNow·FedACH 트래픽 관련 규칙이 담겼다. 연준은 결제 서비스에 영향이 없다고 밝혔고, Finzly는 시스템 키와 자격 증명을 교체했으며 은행 고객 데이터나 시스템 접근 정보가 유출됐다는 증거는 아직 확인되지 않았다고 설명했다.
이번 사안은 Finzly가 은행에 제공하는 결제망 연결 서비스와 관련돼 있다. 유출된 설정 파일로 실제 시스템에 접근할 수 있는지는 확인되지 않았다. 다만 파일에 담긴 네트워크 연결 정보는 자격 증명을 교체한 뒤에도 은행과 서비스 제공업체가 보안 점검을 해야 할 이유가 된다.
유출 파일에 연준 연결 경로와 결제 규칙 포함
Finzly의 BankOS 플랫폼은 은행이 ACH, Fedwire, FedNow 등 결제망에 연결할 수 있도록 지원한다. 고객 은행은 공유 연결을 통해 이 서비스를 이용한다. 회사 웹사이트에는 지난주 기준 은행과 신용조합 고객 11곳이 소개돼 있었다.
Finzly 대변인은 회사가 “시스템 키와 자격 증명을 교체했다”고 밝혔다. 유출된 설정 자료만으로 Finzly 시스템이나 데이터에 접근할 수는 없다는 설명이다. 현재까지의 조사에서는 은행 고객 데이터나 고객 시스템 접근 정보가 침해된 정황이 발견되지 않았으며, 고객 운영에도 영향이 없었다고 덧붙였다. Finzly는 법 집행기관에 알리고 외부 법률·포렌식 전문가를 선임했으며, 고객과 소통을 시작했다. 규제기관 및 고객과도 협력하고 있다고 밝혔다.
연준 대변인은 연준 결제 서비스가 영향을 받지 않았다고 말했다. 공개된 파일에서는 고객 데이터나 은행 데이터, 거래 기록이 확인되지 않았다. 다만 파일에 현재도 유효한 암호나 키가 들어 있는지는 실제로 시험하지 않았다. 설정 주석에는 ‘2023 config’라고 적혀 있어 해당 파일이 2023년에 작성됐을 가능성이 있다.
n0n은 지난주 결제 인프라의 네트워크 설정과 접근 키를 공개하겠다고 위협했으며, 공개 시한을 금요일에서 화요일 밤으로 늦췄다. 시한이 지난 뒤 실제로 파일을 공개한 점을 보면 Finzly가 몸값을 지급하지 않았을 가능성이 있지만, 조직은 Finzly에 요구한 금액을 밝히지 않았다. 위협 인텔리전스 업체 Cyfirma는 n0n이 한국 기업을 대상으로 비트코인으로 60만~1,400만 달러 상당의 몸값을 요구한 사례를 기록한 바 있다.
침입 장비와 키 확보 경위는 미확인
Finzly는 권한이 없는 제3자가 백업 데이터센터에 있는 장비 한 대에 접근해 설정 정보를 확보했다고 밝혔다. 그러나 이 장비가 이번에 문제가 된 방화벽인지, 침입이 언제 발생했는지, 공격자가 어떤 방식으로 접근 권한을 얻었는지는 공개하지 않았다.
n0n이 공개한 파일 6개 가운데 5개는 Fortinet FortiGate 방화벽 설정으로 보이며, 나머지 하나는 설정 요약본이다. 요약본은 해당 장비를 ‘결제 게이트웨이’라고 지칭한다. 파일에는 ‘FED’라는 직접 연결 항목과 FedNow·FedACH 트래픽을 표시한 방화벽 규칙이 포함됐다. 요약본에는 설정에 포함된 암호와 키가 10월 15일 해독됐다는 내용도 적혀 있다.
방화벽은 일반적으로 암호와 키를 암호화된 형태로 저장한다. Fortinet은 2019년, 구형 방화벽 소프트웨어가 설정 파일의 암호를 암호화할 때 장비마다 동일한 하드코딩 키를 사용한 적이 있다고 인정했다. 사이버보안 업체 Huntress의 마이클 티그스(Michael Tigges) 수석 전술 대응 분석가는 설정 파일을 해독해 키를 확보했을 가능성은 “충분히 있다”고 말했다. 다만 n0n이 실제로 어떤 방법을 사용했는지를 보여주는 공개 증거는 아직 없다.
자격 증명 교체만으로 네트워크 정보 노출 해소 어려워
암호와 키를 바꾸면 시스템 접근 자격 증명은 달라지지만, 네트워크 연결 구조까지 자동으로 바뀌는 것은 아니다. 사이버보안 업체 Sophos의 레이프 필링(Rafe Pilling) 위협 연구 담당 수석 디렉터는 이전 방화벽 설정이 어떤 연결을 신뢰하는지 여전히 드러낼 수 있다고 지적했다. 이번 파일에는 Finzly의 클라우드 시스템과 연준으로 이어지는 경로가 담겨 있어, 시스템 간 통신 방식을 파악하는 데 활용될 수 있다는 설명이다.
보안업체 Secure.com의 와심 아흐메드(Waseem Ahmed) 엔지니어링 책임자도 네트워크 구성, IP 주소, 터널 종단점, 신뢰 관계는 암호보다 바뀌는 속도가 느린 경우가 많다고 말했다. 따라서 기존 자격 증명이 더 이상 유효하지 않더라도, 유출된 네트워크 지도가 공격자가 목표를 파악하는 시간을 줄여줄 수 있다.
티그스는 최악의 경우 유출된 방화벽 설정이 네트워크 전반에 대한 통제권을 얻는 데 악용될 수 있고, 계좌번호나 금융 거래 정보가 탈취되거나 랜섬웨어 공격을 받는 위험을 키울 수 있다고 설명했다. 다만 n0n이 해당 키로 실제 시스템 접근을 시도했는지는 알려지지 않았다. Finzly가 랜섬 협박이 시작되기 전에 이상 징후를 발견했는지, 협박을 받은 뒤 상황을 파악했는지도 공개되지 않았다. 키를 교체한 시점이 공격자가 파일을 확보하기 전인지, 파일 공개 후인지도 확인되지 않았다.
은행은 자격 증명 교체 확인하고 접속 기록 점검해야
보안업체 Suzu Labs의 데니스 칼데로네(Denis Calderone) 최고기술책임자(CTO)는 공급업체의 방화벽 설정 파일이 유출된 은행이라면, 파일에 포함된 모든 자격 증명과 키를 교체했는지 먼저 확인하고 이를 입증할 자료를 요청해야 한다고 조언했다. 공급업체가 연준에 통보했는지도 확인할 수 있다고 덧붙였다.
아흐메드는 은행이 공급업체와 연결된 접속 경로를 모두 파악하고, 은행이 관리하는 자격 증명을 교체하며, 공급업체와 새 VPN 키를 협의할 필요가 있다고 말했다. 공급업체가 항목별 조치를 먼저 요청할 때까지 기다릴 필요는 없다는 것이다. 칼데로네는 비정상적인 연결이 있었는지 로그를 점검하고, 공개 이후 기록뿐 아니라 유출 사건이 발생하기 수개월 전까지 조사 기간을 넓힐 것을 권고했다.
현재 공개된 자료에서는 은행 고객 데이터와 거래 기록이 확인되지 않았고, 연준 결제 서비스도 영향을 받지 않은 것으로 파악됐다. 다만 공격자가 백업 데이터센터 장비에 접근한 시점과 방법, 키 교체 시점, 은행과 공급업체 사이의 연결을 추가로 조정해야 하는지는 아직 밝혀지지 않았다.