Board

지난 9월 말 은행권에서 시작된 해킹·정보 유출 사고가 금융보안 전문기관까지 번지면서 금융권 보안 관리체계에 대한 우려가 커지고 있다.

업권을 가리지 않고 침해사고가 잇따르자 외부 접점 등 보안 사각지대를 점검하고 경영진의 선제적인 보안 투자를 유도할 제도적 보완이 필요하다는 지적이 나온다.

13일 금융권에 따르면 금융권 보안 컨트롤타워인 금융보안원은 지난 9일 정보보호 상시평가 시스템에서 외부의 비정상적인 접근을 확인해 접속을 차단하고 금융위원회와 한국인터넷진흥원(KISA)에 신고했다.

해당 시스템은 금융회사가 개인신용정보 보호 실태를 자체 점검하고 관련 자료를 제출하는 온라인 창구다. 금감원은 이 시스템을 통해 여러 금융회사의 평가 자료를 열람할 수 있다. 공격자는 시스템 취약점을 이용해 금감원 계정을 허위로 만들어 접속한 뒤 금융사 제출 자료에 접근한 것으로 나타났다. 다만 실제 금감원 계정 정보가 유출되거나 도용된 정황은 확인되지 않았다. 

유출된 자료는 48개 금융회사의 파일 130여 개로 추정된다. 유출 자료에는 개인신용정보 동의서 샘플 등 행정서식 약 200건과 서식에 포함된 이름·생년월일 등 개인정보 300여 건, 이름과 휴대전화번호 일부가 가려진 시스템 이용자 정보 350여 건이 포함됐다. 금융보안원은 현재까지 파악한 유출 자료에 금융소비자의 주민등록번호나 개인신용정보는 포함되지 않았다고 설명했다.

박상원 금융보안원 원장은 전날 열린 금융정보보호 컨퍼런스 개막식에서 "정보 유출 사고로 국민 여러분과 금융권 관계자 여러분께 심려를 끼쳐드린 점에 대해 사과드린다"며 "금융보안 전문기관으로서 높은 수준의 보안을 유지해야 함에도 불구하고 이번 사고가 발생한 데 대해 송구스럽게 생각한다"고 말했다. 

이에 금융위는 긴급 현장점검에 착수했으며, 경찰도 금융보안원의 수사 의뢰를 받아 관련 경위를 파악하고 있다. 금융보안원은 추가 피해를 막기 위해 시스템 접속 차단을 유지하고 사고 원인과 유출 범위를 조사 중이다.

일선 금융사의 정보 유출 사고가 잇따르던 와중에 금융보안 전문기관까지 해킹 피해를 입으면서 업계의 충격은 더욱 커지는 모양새다.

최근 연쇄적인 침해사고를 겪었던 증권업계에서는 지난 7일 대형사인 미래에셋증권이 일부 모바일 웹과 그룹웨어에서 외부의 비정상적인 접근 정황을 확인해 정보 유출 사실을 공개했다. 당시 피해 규모는 고객 3800여 명의 계좌번호와 임직원 이름·사번 등 3만5000여 건에 달했다. 다만 주민등록번호 등 고유식별정보 유출이나 금전 피해는 확인되지 않은 것으로 알려졌다.

대신증권은 지난달 28일 고객 3만8490명의 개인·신용정보가 유출됐다고 발표했다. 앞서 투자일임 서비스의 비대면 계좌 개설 연계 서버에서 비정상적인 접근 정황을 발견했고, 전수조사를 거쳐 유출 사실을 확인했다. 유출 항목은 고객명과 이메일, 주소 등 8개로, 입출금 계좌번호와 대신증권 종합계좌번호, 휴대전화번호는 암호화된 상태였다.

이후 대신증권은 지난 9일 홈페이지를 통해 개인정보가 유출된 고객들에게 보상보험 가입 지원과 수수료 면제, 현금 지급 등의 지원책을 제공하겠다고 밝혔다.

한양증권도 이달 3일 외부 업체가 제공한 업무용 시스템에서 고객 정보 15건과 임직원 관련 정보 2건, 일반인 개인정보 14건 등 총 31건이 유출된 것으로 파악했다. 유출 항목에는 이름과 주민등록번호, 운전면허번호, 계좌번호, 연락처, 주소, 생년월일, 이메일 주소 등이 포함됐다. 다만 구체적인 피해 보상 및 지원 방안은 아직 발표하지 않았다.

한양증권 관계자는 "현재 재발 방지를 위한 다각적인 방안을 검토하고 있다"며 "개인정보 유출 대상자에게는 개별 안내를 완료했으며 추가적인 보상이나 지원 방안에 대해서는 관련 사항을 종합적으로 고려해 검토하고 있다"고 말했다. 

보안 사고가 빠르게 확산하고 있는 만큼 기술적 보안 강화와 함께 경영진의 실질적인 보안 투자 확대와 책임 강화를 위한 제도적 보완이 병행돼야 한다는 지적도 나온다. 

곽진 아주대 사이버보안학과 교수는 "현재 금융권이 가장 시급히 점검해야 할 곳은 내부 코어망이 아니라 외부 기관과 자료를 주고받는 업무 지원 포털·제휴망·위수탁 시스템 등 상대적으로 감시가 느슨한 '주변부 공격표면(Attack Surface)'이라고 생각한다"고 말했다.

이어 "특히 유관기관이나 업무 편의성을 이유로 다중인증(MFA)을 생략·우회할 수 있게 열어둔 '인증 예외 경로'가 가장 치명적인 사각지대"라며 "모든 대외 접점의 계정 생성 및 인증 절차에 예외 없는 제로트러스트(Zero Trust) 원칙을 적용하는 방안도 검토해야 한다"고 진단했다.

그러면서 "당국의 CEO 책임 강화가 사후 징계에 그치지 않으려면 책무구조 내에 노후 시스템 교체와 예산 확보 등 경영진의 '사전 예방적 투자 의무'를 명확히 연계하는 방안도 고려해 봐야 할 것"이라고 덧붙였다.

[관련출처: 컨슈머타임스]