[2보] 금융권 해킹 공격 IOC: 공격자 IP 19개 · ARTEX User-Agent 3종

By PLURA 2026-10-07

금융권 해킹 공격 IOC 2보

금융감독원 전파 자료로 전달받은 「금융감독원 전파 의심 IP 목록」에는 공격자 IP 19개가 기재돼 있습니다. 침투유형은 “AI Agent를 활용한 자동화 공격 추정”으로 설명돼 있습니다.¹

1보에서는 ARTEX 공개 소스에서 확인한 후보 User-Agent 3종을 WAF 우선 검색용 IOC로 정리했습니다.

이번 2보에서는 두 종류의 IOC를 함께 정리합니다.

IOC 1. 공격자 IP 주소
IOC 2. 공격자 User-Agent(UA)

공격자 IP는 금융감독원 전파 자료에 포함된 지표이고, User-Agent 3종은 1보에서 ARTEX 공개 소스를 기준으로 정리한 후보 IOC입니다. 두 지표의 확인 수준은 구분해서 사용해야 합니다.

1. 최근 공격 상황

현재 금융권 침해사고는 여러 금융회사에서 확인되고 있으며, 기존 [2보] 초안에는 복수 금융사에서 공격 IP가 겹치고 공격자가 IP를 변경하며 공격한 정황이 정리돼 있습니다.²

또한 기존 초안에는 금감원·금융보안원이 후속으로 더 많은 공격 IP를 금융권에 전파하고 C-TAS에도 공유한 내용이 포함돼 있습니다.³

다만 이번 글에 직접 수록하는 공격자 IP는 제공받은 금융감독원 PDF에서 확인되는 19개만을 기준으로 합니다. 문서에 없는 주소를 임의로 추가하지 않습니다.

2. IOC 1 — 공격자 IP 주소

금융감독원 전파 자료의 제목은 ‘공격자 IP’이며, 침투유형은 ‘AI Agent를 활용한 자동화 공격 추정’으로 기재돼 있습니다.¹

아래 주소와 국가·지역은 제공받은 PDF의 순서와 표기를 그대로 옮겼습니다.

No.	공격자 IP 주소	국가·지역(원문 표기)
1	`38.244.50.120`	미국
2	`103.248.148.84`	일본
3	`129.212.181.253`	미국
4	`124.155.252.63`	홍콩
5	`134.185.91.25`	싱가포르
6	`203.160.133.172`	베트남
7	`23.158.220.98`	태국
8	`64.20.39.190`	미국
9	`209.209.85.38`	말레이시아
10	`129.212.181.23`	미국
11	`101.53.80.20`	대한민국
12	`74.82.60.23`	미국
13	`34.175.107.233`	스페인
14	`18.183.215.124`	일본
15	`104.28.162.188`	라트비아
16	`104.28.164.188`	스웨덴
17	`104.28.164.196`	스웨덴
18	`104.28.166.183`	독일
19	`104.28.155.179`	독일

국가·지역 표기는 공격자의 국적이나 실제 소재지를 의미하지 않습니다.

또한 제공받은 금융감독원 자료에는 각 IP별 관측 시각이나 ARTEX 사용 여부가 기재돼 있지 않습니다. 따라서 위 19개를 모두 ‘ARTEX 확정 공격 IP’로 분류해서는 안 됩니다.

3. IOC 2 — 공격자 User-Agent(UA)

1보에서는 ARTEX 공개 소스에서 공격 대상 웹시스템으로 전달될 수 있는 다음 User-Agent 3종을 WAF 우선 검색용 후보 IOC로 정리했습니다.⁴

No.	구분	공격자 UA 후보	1보에서 확인한 용도
1	HTTP User-Agent	`artex-enrich/1.0`	웹 자산 정보를 확인하는 HTTP 요청
2	HTTP User-Agent	`Mozilla/5.0 (spa-api-recon)`	HTML·JavaScript 파일을 수집하는 정적 분석 스크립트
3	HTTP User-Agent	`Mozilla/5.0 (spa-api-recon spider)`	웹페이지를 순회하며 링크·폼 등을 수집하는 스크립트

중요한 점은 이 세 User-Agent가 ARTEX 공개 소스에서 확인한 후보 IOC라는 것입니다.

[1보]에서도 명시했듯이, 이 값들은 이번 금융권 공격에서 실제 관측된 값으로 검증한 것은 아닙니다. 따라서 UA 일치만으로 침해 성공이나 ARTEX 사용을 확정해서는 안 됩니다.⁴

우선 검색 시에는 다음 두 문자열을 기준으로 확인할 수 있습니다.

artex-enrich/1.0
spa-api-recon

spa-api-recon 부분 문자열 검색에는 spa-api-recon spider도 포함됩니다.

4. IOC 적용 방법

이번 2보의 핵심은 단순합니다.

1. 공격자 IP 주소 확인
2. 공격자 User-Agent 확인
3. 대상 Host·URI·요청 시각 확인
4. 같은 세션·시간대의 요청 연결
5. 인증·권한·요청·응답 내용 확인
6. 실제 공격 여부와 영향 범위 판단

① 공격자 IP는 우선 탐지·차단 대상으로 확인합니다

금융감독원 전파 IP 19개를 WAF·방화벽·SIEM 등에서 우선 검색하고, 현재 접속 여부와 기존 접속 이력을 확인합니다.

② 공격자 UA는 WAF·웹 로그에서 함께 검색합니다

다음 로그에서 User-Agent 값을 확인합니다.

WAF
Reverse Proxy
웹서버 Access Log
API Gateway

다만 UA가 일치했다고 곧바로 침해로 판정하지 않습니다.

③ IP와 UA가 함께 확인되면 우선순위를 높여 분석합니다

특히 다음 항목을 연결해 확인합니다.

발생 시각
출발지 IP
User-Agent
대상 Host
HTTP Method
URI / Query String
요청 본문
인증·세션 정보
응답 상태 코드
확인 가능한 응답 내용
관련 서버 행위

IOC는 침해 판정의 끝이 아니라 조사 시작점입니다.

5. 이번 2보의 핵심

이번 금융권 해킹 대응에서 현재 정리할 수 있는 IOC는 우선 두 가지입니다.

IOC 1. 공격자 IP 주소

금융감독원 전파 자료에서 확인된 19개 IP

IOC 2. 공격자 User-Agent

[1보]에서 ARTEX 공개 소스를 기준으로 정리한 후보 UA 3종

공격자 IP는 즉시 탐지·차단과 접속 이력 조사에 활용하고, 공격자 UA는 웹 요청을 좁혀 분석하기 위한 후보 지표로 활용합니다.

두 IOC가 모두 확인될 경우 조사 우선순위를 높일 수 있지만, 실제 침해 여부는 웹 요청·응답, 인증·세션, 서버 행위까지 연결해 확인해야 합니다.

IP만 막고 끝내서도 안 되고, UA 하나만으로 공격을 확정해서도 안 됩니다.

제공받은 「금융감독원 전파 의심 IP 목록.pdf」, 1쪽. 원문 제목은 ‘공격자 IP’이며, 침투유형은 ‘AI Agent를 활용한 자동화 공격 추정’으로 기재돼 있습니다. ↩︎ ↩︎
제공받은 기존 [2보] 초안의 ‘최근 공격과 위협정보 공유 현황’ 내용을 유지했습니다. ↩︎
제공받은 기존 [2보] 초안의 후속 IP 전파 및 C-TAS 공유 내용을 유지했습니다. ↩︎
제공받은 [1보] 문서 「금융권 해킹 공격 IOC: ARTEX AI 관련 공개 지표와 즉시 점검 항목」의 User-Agent 후보 IOC 정리 내용을 기준으로 작성했습니다. ↩︎ ↩︎