日 증권사 시스템 뚫려 '무단 주식거래'…고객 4975명 정보 유출

이와이코스모증권 위탁 시스템 해킹…5개 계좌서 실제 매매 체결
거래 취소 복구로 금전 피해는 없어…비밀번호 제외한 이름·이메일 유출
피싱 아닌 '시스템 장악' 초유 사태…日 금융청, 원인 규명·대책 요구

[파이낸셜뉴스] 일본의 한 증권사 온라인 거래 시스템이 사이버 공격을 받아 고객 몰래 주식 매매가 이뤄지고 개인정보가 유출되는 사태가 발생했다. 기존의 계좌 탈취형 피싱 범죄가 아닌 증권사 위탁 시스템 자체가 장악당한 심각한 사례로 파악돼 일본 금융당국도 원인 조사에 착수했다.

21일 교도통신과 도쿄신문 등 외신에 따르면 이와이코스모증권은 온라인 거래 시스템의 운영 및 유지보수를 위탁한 '트레이드웍스'의 서버가 무단 접근 공격을 받아 고객 계좌에서 본인이 의도하지 않은 주식 매매가 발생했다고 발표했다.

증권사 측은 지난 14일 부정 접속을 탐지해 통신 차단 등 긴급 조치에 나섰으나, 그 사이 7개 계좌에서 매매 주문이 접수됐고 이 중 5개 계좌에서 실제 거래가 성사됐다. 사측은 피해 고객에게 이를 즉각 통보하고 거래 발생 전 상태로 원상복구 조치를 완료해 실제 금전적인 피해는 발생하지 않았다고 밝혔다.

한편 이번 사이버 공격으로 고객 4975명의 이름과 이메일 주소 등 개인정보도 빠져나갔다. 증권사는 당초 유출 규모를 4611명으로 발표했다가 추가 조사를 거쳐 피해 대상을 정정했다. 다만 주식 거래 등에 필요한 비밀번호는 유출되지 않았으며, 이번 부정 매매에 탈취된 개인정보가 도용되지는 않은 것으로 확인됐다.

해킹 방식과 관련해 시스템 운영사인 트레이드웍스는 "일반 고객 로그인 과정에선 다중 인증 등 보안장치가 작동했으나, 시스템의 일부 관리 기능 설정에 미비점이 있어 이를 제3자가 악용한 것"이라고 설명했다. 고객 부주의에 의한 정보 유출이 아니라 거래 시스템 자체의 보안 허점을 찌른 '시스템 장악' 사태라는 의미다.

이 과정에서 해프닝도 있었다. 당초 이와이코스모증권은 공격자가 인공지능(AI)을 활용해 시스템 취약점을 노리고 무차별 공격을 가했다고 발표했으나, 트레이드웍스가 "AI 사용 여부를 단정할 수 없다"며 이견을 보이자 사측이 공식 발표에서 AI 관련 문구를 조용히 삭제하기도 했다.

초유의 사태에 일본 정부와 금융당국도 기민하게 반응하고 있다. 기하라 미노루 관방장관은 21일 기자회견에서 "금융청이 해당 증권사에 사고 원인 분석과 재발 방지 대책 마련을 요구했다"라고 밝혔다. 히비노 다카시 일본증권업협회장 역시 이번 사건을 심각하게 받아들인다며, 금융청과 협력해 중소형·지방 증권사들의 매매 시스템 보안 점검과 대책 마련을 적극 지원하겠다고 강조했다.

[email protected] 박지현 기자