'고객정보 10만건 유출' 금융사 해킹 사고 16개사 확인..."보안관리 개편 추진"(종합)

산은캐피탈 848명 정보 유출
DB저축은행은 해킹 시도 차단
555개 금융사 중 130개사 보안 미흡
보안패치와 관제체계 취약 지적

[파이낸셜뉴스] 최근 금융권에서 발생한 해킹 공격으로 인해 16개 금융회사에서 침해사고가 확인됐다. 유출된 개인정보 유출 규모는 약 10만건에 달한다.

금융당국은 금융회사 555곳을 대상으로 긴급 보안점검을 실시한 결과, 130곳에서 보안패치 미적용 등 일부 미흡사항이 발견됐다고 14일 밝혔다. 은행, 저축은행, 상호금융, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 금융업권 전반에서 사고가 드러났다.

은행권에서는 신한·KB국민·BNK부산·하나은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳에서 해킹 침해 사고가 확인됐다. 여신사 중에선 현대캐피탈과 산은캐피탈, 온라인투자연계금융업권에선 PFCT와 모우다, 전자금융업권에선 브라이트픽스가 포함됐다. 가상자산사업자인 스트리미와 프라뱅, 상호금융업권의 새마을금고중앙회 역시 해킹 공격을 당해 정보 유출 사고를 겪었다.

이 가운데 산은캐피탈은 지난 12일 외부의 비정상적인 접근 경로를 통한 일부 시스템 접속으로 고객 848명의 개인정보(성명, 주민등록번호, 생년월일)가 유출된 것을 확인했다고 밝혔다. 해당 사실을 인지한 즉시 불법 접속 경로를 차단하고, 비정상 접근 모니터링을 강화했으며, 유출이 확인된 고객에게 관련 사실을 통지하고 2차 피해 예방을 당부했다.

DB저축은행은 해킹 시도가 있었으나 보안시스템에 의해 차단됐고, 일반 고객정보 유출은 없었다고 밝혔다. 해킹 시도에 이용된 소수 관련인에게는 안내가 이뤄졌으며, 비정상 조회·접근 차단, 불량 IP 차단, 거래집중 모니터링 등 보안조치가 시행 중이다.

금융당국은 현재까지 유출된 개인정보는 성명, 연락처, 주민등록번호, 이메일 등이 포함되지만, 계좌 비밀번호와 카드번호 등 직접적인 부정결제 우려가 있는 정보는 유출되지 않았다고 설명했다. 금융회사들이 공유된 공격자 IP 등을 토대로 추가 침해 여부를 확인 중이며, 사고 발생 회사가 더 늘어날 가능성도 있다. 금감원과 금융보안원은 현장조사 등을 통해 침해 경로, 공격방식, 사고 간 연관성, 동일 공격 주체 여부, 인공지능(AI) 활용 해킹 가능성 등을 조사하고 있다.

보안점검 결과, 555개 금융회사 중 425곳은 적정, 130곳은 일부 항목에서 미흡사항이 발견됐다. 미흡사항은 주로 보안패치와 관제체계 관련 항목에서 나타났으며, 전자금융업과 온라인투자연계금융업 부문에서 상대적으로 많았다. 최신 보안패치 미적용, 노후 시스템 관리 미흡, 24시간 실시간 보안관제체계 미구축, 인증·인가 절차 누락, 다중요소인증(MFA) 미도입 등이 문제점으로 지적됐다. 금융당국은 미흡사항이 발견된 회사들이 보안패치 적용, 노후 장비 교체, 보안관제 인력·설비 확충, 접근통제 강화 등 보완조치를 시행 중이라고 밝혔다.

금융위원회는 신진창 사무처장 주재로 열린 '제2차 긴급 상황대응 회의'에서 금융권 보안관리체계 전반을 개편하겠다고 밝혔다. 기존 12개 항목의 긴급 점검을 넘어 전산시스템 외부 접점 목록화, 인증·접근통제 권한 관리, CEO·CISO·CIO의 보고체계와 책임범위 명확화 등 전수점검을 추진한다. 대형 금융회사의 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 중요한 외부접점은 필수 점검대상에 포함하는 방안도 추진된다. 긴급한 경우 수시점검이 가능하도록 근거를 마련하는 방안도 검토된다.

금융당국은 보안점검 권고의 현장 이행을 위해 CEO 책임 강화와 제재 실효성 제고를 위한 제도 개선도 추진할 계획이다. 해킹위협 공동 대응체계 강화와 함께, 금융회사가 자체적으로 탐지한 위협정보도 통합관제시스템을 통해 공유할 수 있도록 개선하고, AI 위협수준 정보체계와 AI 기반 점검 인프라 구축을 추진한다. 중소형 금융회사 지원 확대, 업권별 협회·중앙회의 AI 기반 공동 보안관제시스템 구축, 맞춤형 보안안내서 마련, 대부업체와 보험대리점(GA) 등 보안위협 대응 요령 전파 등도 포함된다.

신진창 금융위 사무처장은 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라며 "금융회사 외부접점·인증관리, 보안관제체계, CEO·이사회 책임성 확보 등 보안체계 전반에 대한 재점검 및 제도개선을 추진하겠다"고 강조했다. 이어 "AI 보안위협 확대에 대비해 'AI 공격은 AI로 방어'하는 보안체계 확립을 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 말했다.

[email protected] 박문수 기자