경제 경제단체

온투업까지 손 뻗은 해킹…'보안 기본기'가 피해 여부 갈랐다

연합뉴스

은행·저축은행·캐피털 등 침해사고…증권·보험·카드·상호금융은 아직은 방어 다중인증체계·프로그램 구축 수준 등 갈려…2차 피해 여부 주목

온투업까지 손 뻗은 해킹…'보안 기본기'가 피해 여부 갈랐다
은행·저축은행·캐피털 등 침해사고…증권·보험·카드·상호금융은 아직은 방어
다중인증체계·프로그램 구축 수준 등 갈려…2차 피해 여부 주목

(서울=연합뉴스) 강수련 강류나 기자 = 금융권이 인공지능(AI) 도구를 활용한 해킹 공격에 전방위적으로 노출된 가운데, 업권·회사별로 피해가 엇갈린 배경에 관심이 쏠린다.

5일 금융권과 금융당국에 따르면 현재까지 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사에서 침해 사고가 발생했다.

온라인투자금융업(온투업) 회사인 피에프씨테크놀로지스(PFCT)와 모우다도 공지를 통해 침해 사실을 알렸다.

금융당국에 따르면 시중은행 해킹 사고에서 동일한 공격자의 인터넷주소(IP)가 발견됐으나, 저축은행·캐피탈사의 IP와는 다른 것으로 파악됐다. 다만 공격 수법은 유사한 것으로 전해졌다. 온투업의 경우 비슷한 시기 신고돼 사고 경위를 살피는 중이다.

반면 증권·보험·카드 업권은 해킹 시도에 노출됐지만, 현재까지 피해 신고는 없는 상태다.

업권 간은 물론 동일 업권 내에서도 피해 여부와 규모가 크게 엇갈렸다.

신한은행은 2만5천727건의 정보가 유출된 반면, KB국민은행은 153건에 그쳤다. 하나은행은 89명 규모라고 밝혔다. 우리·NH농협은행 역시 시도는 있었으나 방어에 성공했다.

예가람저축은행은 4만여건, 웰컴저축은행은 2천200건의 정보가 유출돼 편차가 컸다. 유출정보의 비식별 처리 여부 등도 회사별로 달랐다.

금융당국과 전문가들은 평소 시스템 관리와 내부통제 수준이 보안 성패를 갈랐다고 보고 있다.

한 보안 전문가는 "다중인증체계뿐 아니라 외부 노출 시스템 보유 여부, 보안 프로그램 구축 수준 등에 따라 방어 성과가 달랐다"고 말했다.

금융당국 관계자도 "다중인증체계와 물리적 차단, 접속 권한 관리, 정보 암호화 등을 얼마나 유기적으로 운영하는지에 따라 회사별 차이가 나타났다"고 말했다.

전날 열린 전 금융권 긴급 점검 회의에서도 AI 고도화 자체보다 내부통제와 보안관리 부실이 침해사고의 주요 원인이라는 지적도 나온 것으로 알려졌다.

이억원 금융위원장도 외부 노출 IT 자산 및 서비스, 인증·접근 통제, 침해 활동 탐지체계 등 점검 대상을 언급하며 "보안 체계 전반에 공백이 없도록 점검해야 한다"고 강조했다.

금융당국은 전 금융권에 공격 대상이 된 부가 시스템은 전반적으로 통제를 강화하거나 이용을 최소화하도록 당부했다.

예컨대 정보조회 서비스 등 인증 절차가 누락된 서비스는 전수조사해 오류를 수정하거나 서비스를 차단한다. 직원 업무지원 서비스도 모바일 단말기 접근 통제를 강화하고, 취약한 웹서비스는 즉시 개선한다.

이번 정보 유출로 인한 2차 피해 가능성도 주목된다.

현재까지 공개된 유출 정보는 고객명, 생년월일, 연락처, 주민등록번호 등으로 부정 결제에 직접 활용될 수 있는 민감정보는 없는 것으로 알려졌다.

다만 이 위원장도 "유출된 정보를 악용한 보이스피싱·스미싱 등 2차 피해로 이어질 가능성도 배제할 수 없다"고 밝힌 만큼, 금융권도 추가 피해가 나올까봐 촉각을 곤두세우고 있다.

은행과 카드는 오는 6일, 증권·보험·저축은행·전자금융업자는 8일까지 긴급 점검을 마쳐야 한다.
특히 이달 국정감사에 금융권 해킹이 주요 이슈가 될 것으로 예상되며 당국과 금융사 모두 긴장하고 있을 것으로 보인다. 은행장들이 출석할 가능성도 있다.

한 금융권 관계자는 "IP 차단과 인증, 접근통제가 부실한 사이트 차단 등 조치로 당장 새로운 해킹 사고는 이어지지는 않을 것"이라고 말했다.