금융권 해킹 이후 외부 접점 점검, 마케팅 페이지도 포함

점검 요청을 받은 마케팅팀이 먼저 볼 것

• 금융권 해킹 이후 금융당국이 요구한 외부 접점 점검에는 마케팅팀이 운영하는 랜딩, 이벤트, 블로그 페이지도 들어가야 합니다.

• 이번 은행 해킹은 금융거래 시스템 자체보다 대출모집인 시스템이나 영업 지원 플랫폼처럼 관리 목록 밖에 있던 외부 웹 접점에 집중됐습니다.

• Search Console 색인 목록과 사이트맵, 서브도메인 목록을 합치면 보안팀에 넘길 공개 URL 목록의 초안을 만들 수 있습니다.

이번 주 금융사 마케팅팀이라면 보안팀이나 IT팀에서 "외부에 열려 있는 웹 페이지를 전부 적어 달라"는 요청을 받았을 수 있습니다.

메인 홈페이지와 인터넷뱅킹은 IT팀이 관리하니 금방 적을 수 있습니다. 그런데 3년 전에 연 캠페인 랜딩이나 대행사가 만든 이벤트 사이트는 지금 누가 관리하는지부터 헷갈리기 쉽습니다.

아래에서는 수신 상품 캠페인을 자주 여는 저축은행 마케팅팀을 예로 듭니다. 이 팀이 몇 년 동안 캠페인 랜딩 40여 개와 이벤트 서브도메인 3개를 만들었다고 가정하겠습니다. 설명을 위해 정한 가정이며 실제 회사의 데이터와는 관계가 없습니다.

금융권 해킹, 뚫린 곳은 왜 거래 시스템이 아니었나요?

이번 금융권 해킹은 금융거래 시스템 자체보다 보안 조직의 관리 목록에서 빠져 있던 외부 웹 접점, 이른바 섀도 IT에 집중됐습니다.

주간경향(10월 12일)은 공격이 대출모집인 시스템과 영업 지원 플랫폼에 몰렸다고 전했습니다. 같은 기사는 섀도 IT를 공식 관리 목록에서 빠져 있거나 점검 순위에서 밀려 방치된 시스템, 서비스, API로 설명합니다.

신한은행, KB국민은행, 하나은행 사고 이후 10월 12일 전후의 2차 공격에서도 비슷한 흐름이 보입니다. 파이낸셜뉴스는 10월 19일 OK저축은행과 DB저축은행 정보가 대출 신청 페이지와 대출 한도 조회 화면에서 나왔다고 보도했습니다.

뉴스핌(10월 7일)은 공격받은 시스템 상당수가 정기 점검 대상에서 빠져 있었던 것으로 전해졌다고 보도했습니다. 현행 규정은 홈페이지를 6개월에 1회 이상 취약점 분석·평가하도록 정하고 있지만, 애초에 목록에 없는 페이지는 이 주기에도 들어가지 못합니다.

금융위가 지시한 외부 접점 점검, 무엇을 목록에 넣어야 하나요?

외부에서 접속할 수 있는 웹 페이지와 서비스는 운영 부서와 관계없이 모두 목록에 넣어야 하며, 마케팅팀이 만든 페이지도 여기에 들어갑니다.

금융위원장은 10월 4일 소비자 서비스와 업무 수행에 꼭 필요한 경우를 빼고 외부 접근을 원칙적으로 차단하라고 지시했습니다. 외부에 노출된 IT자산과 인증·접근통제를 다시 점검해 보고하라는 주문도 함께 나왔습니다.

파이낸셜뉴스(10월 14일)에 따르면 금융당국은 금융회사 555곳을 긴급 점검해 130곳에서 미흡 사항을 찾았고, 다음 단계로 전산시스템 외부 접점 목록화를 포함한 전수점검을 추진합니다. 이찬진 금융감독원장도 10월 19일 국정감사 인사말에서 IT 자산 식별·관리 의무화를 언급했습니다(데일리안 보도).

📌 보안 점검까지 마케팅팀이 하나요? 이 글이 다루는 일은 공개 URL 목록을 만드는 단계까지입니다. 목록에 오른 페이지의 취약점 분석과 조치는 보안팀이나 점검 기관이 맡습니다.

마케팅팀이 만든 랜딩·이벤트 페이지가 목록에서 빠지는 이유

마케팅 페이지는 대개 만든 사람과 관리하는 사람이 다르고 캠페인이 끝난 뒤 닫는 절차가 없어서 외부 접점 목록에서 빠집니다.

예시로 든 저축은행 마케팅팀을 다시 보면, 랜딩 40여 개 가운데 절반 이상은 담당자가 바뀌었거나 대행사 계약이 끝난 상태일 수 있습니다. 이벤트 서브도메인은 응모 폼을 받던 서버가 그대로 남아 있고, 플러그인 업데이트를 누가 하는지 아무도 기억하지 못하는 상황도 생기기 쉽습니다.

주간경향 기사에서 김명주 서울여대 교수는 외부 웹서비스와 직원 업무 시스템, 협력사 접점, 계정과 연관된 모든 소프트웨어를 조사해 사각지대 자산을 찾아야 한다고 말했습니다. 마케팅 페이지는 이 조사에서 가장 늦게 떠오르는 자산 중 하나입니다.

GEO·AEO(답변 엔진 최적화) 작업으로 새 콘텐츠 페이지를 늘리는 금융사라면 더 신경 써야 합니다. AI 답변에 인용될 페이지를 늘리는 만큼 관리할 공개 페이지도 늘어나기 때문에, 만들 때부터 목록에 올리는 규칙이 필요합니다.

공개 페이지 구조를 GEO 관점에서 함께 점검하고 싶다면 리드젠랩 GEO·AEO 서비스 구성에서 진단 범위를 확인해 보세요.

Search Console과 사이트맵으로 공개 URL 목록 만드는 5단계

공개 URL 목록은 검색엔진이 이미 알고 있는 주소부터 모으면 빠르게 초안을 만들 수 있습니다.

1. 도메인을 모두 적습니다. 메인 도메인과 캠페인·블로그·이벤트용 서브도메인, 대행사가 등록한 별도 도메인까지 마케팅팀, IT팀, 대행사에 확인해 한 표에 모읍니다.

2. Search Console 색인 현황을 내려받습니다. 도메인 속성을 쓰면 서브도메인까지 한 번에 볼 수 있고, 페이지 보고서에서 색인된 URL과 색인되지 않은 URL을 함께 확인합니다.

3. 사이트맵과 대조합니다. 구글의 사이트맵 안내도 사이트맵이 모든 항목의 크롤링과 색인을 보장하지 않는다고 설명하므로, 사이트맵에만 있는 주소와 색인에만 있는 주소를 모두 표시합니다.

4. 담당자와 상태를 붙입니다. URL마다 운영 부서, 대행사, 마지막 수정일, 로그인 화면이나 입력 폼이 있는지를 적습니다.

5. 보안팀에 넘기고 갱신 규칙을 정합니다. 완성한 목록을 보안팀의 점검 대상 목록과 합치고, 새 캠페인을 열 때마다 목록에 추가하는 절차를 만듭니다.

이 방법은 검색엔진이 아는 페이지만 잡아냅니다. 링크도 사이트맵도 없는 페이지는 도메인 등록 기록과 서버 설정을 IT팀이 따로 확인해야 빠짐없이 모입니다.

남길 페이지와 닫을 페이지를 나눠 보세요

목록이 나오면 페이지마다 계속 운영할지, 다른 페이지로 넘길지, 닫을지를 정해야 관리할 외부 접점이 실제로 줄어듭니다.

닫기 전에는 그 페이지가 지금 AI 답변의 출처로 쓰이고 있는지, 최근 3개월 동안 검색 유입이 있었는지를 확인해 보세요. 필요한 페이지를 실수로 지우는 일을 막을 수 있습니다.

💡 리디렉션과 삭제 중 고민된다면 같은 주제를 다루는 현재 페이지가 있으면 리디렉션, 없으면 삭제를 기본으로 두고 예외만 따로 판단하면 결정이 빨라집니다.

페이지를 정리한 뒤 AI 답변 출처가 어떻게 바뀌는지 측정하는 순서는 AVO 6단계 프레임워크에서 볼 수 있습니다.

자주 묻는 질문

외부 접점 목록에 마케팅 페이지까지 넣어야 하나요?

외부에서 접속할 수 있는 페이지라면 넣는 것이 맞습니다. 10월 4일 지시 문구는 외부에 노출된 IT자산을 다시 점검하라는 것이어서 마케팅 페이지를 따로 뺄 근거가 없고, 목록에 넣은 뒤 점검 우선순위는 보안팀과 정하면 됩니다.

Search Console에 없는 페이지는 어떻게 찾나요?

검색엔진이 모르는 페이지는 Search Console로 찾을 수 없습니다. 도메인 등록 기록, 서브도메인 설정, 대행사 계약서의 제작물 목록을 IT팀과 대행사와 함께 확인해야 합니다.

캠페인 페이지를 지우면 검색 유입이 줄지 않나요?

유입이 있는 페이지는 지우기 전에 같은 주제의 현재 페이지로 301 리디렉션을 걸면 손실을 줄일 수 있습니다. 클릭이 거의 없는 페이지는 지워도 영향이 작으니 Search Console에서 최근 3개월 클릭부터 확인하세요.

공개 URL 목록은 얼마나 자주 갱신해야 하나요?

새 캠페인을 열거나 닫을 때마다 갱신하고, 분기마다 한 번은 Search Console 목록과 다시 대조하는 방식을 권합니다. 주간경향 기사에서도 일회성 점검으로 끝내면 설정이 바뀐 시스템이 새 공격 경로가 될 수 있다는 지적이 나왔습니다.

금융사 웹 자산 목록, 보안 점검 전에 먼저 정리하세요

금융권 해킹 이후 외부 접점 점검은 IT 시스템만의 일이 아닙니다. 마케팅팀이 만든 공개 페이지 목록을 먼저 정리해 보안팀에 넘기면 점검 범위가 분명해집니다.

리드젠랩은 자체 개발한 SOHA로 질문별 AI 답변의 인용 출처를 기록하기 때문에, 오래된 페이지를 닫기 전에 그 페이지가 AI 답변에 쓰이고 있는지 확인할 수 있습니다. 대표를 포함한 15명 팀에 전략, 기술, 리서치, 콘텐츠, 디자인, 데이터 담당이 모두 있어서 공개 URL 목록 정리부터 리디렉션 작업까지 한 팀에서 이어서 처리합니다.

보안팀에서 외부 접점 목록을 요청받았다면 지금 운영 중인 도메인과 캠페인 페이지 현황을 보내 주세요. 마케팅 쪽 공개 URL 목록 초안과 남길 페이지·닫을 페이지 분류를 함께 정리해 드립니다.

• 리드젠랩에 금융사 공개 URL 진단 문의하기

• SOHA로 정리할 페이지의 AI 인용 확인하기

함께 보면 좋은 글

• AI가 읽기 좋은 웹사이트 구조 체크리스트 17

• 블로그 127편을 발행하고 배운 것, 대량 발행의 한계

• 내부 링크로 AI 신뢰 쌓는 토피컬 어소리티