[단독] 온투업체 2곳서 1.9만명 정보 유출…은행권보다 먼저 뚫렸다

(서울=뉴스1) 김도엽 한병찬 기자 = 금융권을 겨냥한 연쇄 해킹 사태로 온라인투자연계금융업체(온투업체) 두 곳에서 1만 9000명이 넘는 고객정보가 유출된 것으로 잠정 파악됐다. 특히 이들 업체에 대한 공격은 그동안 가장 이른 공격 사례로 알려졌던 KB국민은행보다 최대 20시간 가까이 앞선 것으로 확인됐다.

20일 국회 정무위원회 소속 신동욱 국민의힘 의원실이 금융감독원으로부터 제출받은 피에프씨테크놀로지스(PFCT)와 모우다의 침해사고 신고서에 따르면 두 업체의 개인정보 유출 피해 규모는 잠정 1만 9214명으로 집계됐다.

업체별로는 모우다가 1만 8900명, PFCT가 314명이다. 정확한 피해 인원은 현재 조사 중으로, 향후 변동될 가능성이 있다.

두 업체의 침해사고 발생 사실은 앞서 알려졌지만 구체적인 개인정보 유출 규모와 공격 시점이 드러난 것은 이번이 처음이다. 특히 모우다에서만 1만 9000명에 가까운 개인정보가 유출된 것으로 파악되면서 중소형 금융회사의 정보보호 실태에도 관심이 쏠린다.

PFCT, 국민은행보다 약 20시간 먼저 공격받아

주목되는 대목은 공격이 이뤄진 시점이다.

그동안 금융권에서 확인된 주요 침해사고 가운데 KB국민은행에 대한 공격이 지난 9월 27일 오후 11시 19분으로 가장 이른 사례로 알려졌다. 그러나 이번 신고서에 따르면 PFCT와 모우다 모두 같은 날 오전 공격을 받은 것으로 나타났다.

PFCT에 대한 공격은 추석 연휴 마지막 날인 9월 27일 오전 3시 29분부터 4시 34분 사이에 발생했다. 국민은행에 대한 공격보다 시작 시점 기준 19시간 50분 앞선다.

공격자는 PFCT 운영시스템의 보안 취약점을 이용해 투자 서비스 관리자 기능에 접근한 것으로 파악됐다. 구체적으로는 서버 측 템플릿 주입(SSTI) 취약점을 악용한 공격으로, 회원 주민등록번호 등 개인정보가 유출됐다.

PFCT는 사고 당일 침해 사실을 인지했으며 다음 날인 28일 금융당국에 신고했다.

모우다 역시 9월 27일 오전 11시 54분께 공격을 받았다. 국민은행에 대한 공격보다 약 11시간 25분 빠른 시점이다.

공격자는 여러 인터넷주소(IP)를 경유해 모우다 웹페이지의 보안 취약점을 공략한 것으로 파악됐다.

모우다는 다음 날인 28일 사고를 인지했으며, 29일 오후 5~7시 사이 개인정보보호위원회와 한국인터넷진흥원(KISA)에 침해사고를 신고했다.

다행히 모우다로부터 주민등록번호 등 개인식별정보 유출은 없었다. 사고 인지 시점도 은행권보다 빨랐으며 금융당국의 인지가 아닌 자체 조사로 보안패치까지 빠르게 마무리했다.

두 업체 모두 추석 연휴 막바지에 공격받았다는 공통점도 있다. 은행권에 비해 보안 인력과 관련 투자 여력이 상대적으로 부족한 중소형 금융회사가 공격 대상이 됐다는 점에서 보안 취약점 관리와 휴일 대응체계에 대한 점검이 필요하다는 지적이 나온다.

공격자 IP 일부 중복…동일 세력 여부는 추가 조사 필요

이번에 확인된 공격 시점은 금융권 연쇄 해킹 사태의 발생 경위를 파악하는 데 새로운 단서가 될 수 있다.

특히 신한은행과 국민은행 등에 대한 공격에 사용된 IP를 대조한 결과 일부 중복된 IP가 있는 것으로 알려졌다. 이에 따라 동일 공격 세력이 여러 금융회사를 겨냥했을 가능성도 제기된다.

다만 공격자가 여러 IP를 우회해 접속했을 수 있는 만큼 IP가 겹친다는 사실만으로 동일 공격자라고 단정하기는 어렵다.

현재까지 금융당국이 파악한 침해사고 발생 금융회사는 총 16곳이다. 은행뿐 아니라 저축은행과 캐피탈사, 상호금융, 온투업체, 가상자산사업자 등 금융권 전반으로 피해가 확산한 상태다.

개인정보 유출 규모가 큰 곳은 예가람저축은행 4만 2926명, 신한은행 2만 5729명, 모우다 1만 8900명(잠정) 등이다. 이어 웰컴저축은행 2117명, OK저축은행 518명, 새마을금고 400명대 등의 피해가 파악됐다. 현재까지 확인된 금융권 개인정보 유출 규모는 약 10만 명에 달한다.

신동욱 의원은 "은행권뿐 아니라 보안 인력과 투자 여력이 부족한 중소형 금융사까지 공격이 확산한 만큼 금융당국이 점검 범위를 넓혀야 한다"며 "공격 시점이 더 앞선 것으로 확인된 만큼 당국의 초기 상황 파악이 충분했는지 짚어봐야 한다"고 말했다.