산은캐피탈·고팍스도 뚫렸다…금융권 해킹 피해 16곳으로 확대

(서울=뉴스1) 한병찬 기자 = 금융권을 겨냥한 해킹 공격으로 DB저축은행과 산은캐피탈, 브라이트픽스, 스트리미(고팍스), 프라뱅 등 5개사의 침해사고가 추가로 확인됐다. 특히 전자금융업체와 가상자산사업자에서도 처음으로 피해 사실이 드러나면서 금융권 해킹 사태가 사실상 전 업권으로 확산하는 양상이다.

이번에 추가 확인된 5개사를 포함해 침해사고가 발생한 금융회사는 총 16곳으로 늘었다. 현재까지 파악된 개인정보 유출 규모는 약 10만 건에 달한다.

금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등이 참석한 가운데 '제2차 긴급 상황대응 회의'를 열고 이같이 밝혔다.

금융위에 따르면 이날 새롭게 침해사고가 확인된 곳은 △DB저축은행 △산은캐피탈 △브라이트픽스 △스트리미 △프라뱅 등 5개사다. DB저축은행과 산은캐피탈에 이어 전자금융업체인 브라이트픽스, 가상자산사업자인 스트리미와 프라뱅까지 피해가 확인되면서 해킹 공격의 범위가 더욱 넓어졌다.

이에 따라 침해사고가 확인된 금융회사는 기존 11곳에서 16곳으로 늘어났다.

업권별로는 은행 4곳(신한·국민·부산·하나), 저축은행 4곳(예가람·웰컴·DB·OK), 여신전문금융회사 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융업체 2곳(PFCT·모우다), 전자금융업체 1곳(브라이트픽스), 가상자산사업자 2곳(스트리미·프라뱅), 상호금융 1곳(새마을금고중앙회)이다.

피해 금융회사는 앞으로 더 늘어날 가능성도 있다. 금융회사들이 금융보안원 등을 통해 공유된 공격자 IP 주소를 토대로 추가 침해 여부를 계속 확인하고 있기 때문이다.

현재까지 확인된 개인정보 유출 규모는 약 10만 건이다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐다.

다만 금융위는 계좌번호나 카드번호 등 직접적인 부정결제로 이어질 우려가 있는 정보의 유출은 현재까지 확인되지 않았다고 설명했다.

금융당국은 사고가 신고된 금융회사에 공격 IP 차단, 보안패치, 관련 서비스 중단 등 추가 침해 방지 조치와 함께 개인정보 유출 사실 및 대응요령 안내 등 소비자 보호 조치를 하도록 관리·감독하고 있다.

지난 8일까지 진행된 전 금융권 555개 사 대상 12개 항목 체크리스트 점검에서는 425개 사가 '적정', 130개 사가 미흡 사항이 있다고 보고했다.

미흡 사항은 최신 보안패치 미적용, 제조사 기술지원 종료(EOS) 시스템 관리 미흡, 24시간 관제체계 미구축, 공격표면 관리 미흡 등이다. 상대적으로 보안 역량이 약한 전자금융업·온투업권에서 미흡 사항이 다수 발견됐다.