금융권 해킹 아직 안 끝났다…보험사 뚫리고 은행 추가 유출까지

(서울=뉴스1) 전준우 기자 = 금융권을 겨냥한 해킹 사고가 한 달 가까이 이어지는 가운데 은행·저축은행 등에 이어 보험사에서도 처음으로 고객정보 유출이 확인됐다. KB국민은행의 정보 유출 인원은 정밀 재검증 과정에서 당초 발표보다 18.6배로 늘어났다. 금융감독원의 검사 인력 부족으로 피해 금융회사에 대한 전수점검이 어려운 만큼 다른 금융사에서도 추가 유출이 드러날 가능성을 배제할 수 없는 상황이다.

금융권 해킹 보험사까지 확산…미래에셋생명 고객정보 유출

27일 금융권에 따르면 미래에셋생명은 지난 25일 일부 시스템에서 이상 징후를 발견하고 사이버 침해사고를 인지했다. 이후 외부 전문기관과 사고를 분석한 결과 26일 새벽 일부 고객정보가 유출된 사실을 확인했다.

침해사고는 고객 청약시스템과 홈페이지 일부에서 발생한 것으로 파악됐다. 미래에셋생명은 공격에 사용된 인터넷주소(IP)를 차단하고 홈페이지 접속을 제한하는 등 긴급 조치에 나섰다.

이번 금융권 연쇄 해킹 사태에서 보험업권의 정보 유출이 당국에 신고된 것은 처음이다.

금감원은 전날 IT 검사 부서와 보험 검사 부서 인력을 함께 파견해 긴급 현장점검에 착수했다. 사고 경위와 피해 범위 등을 확인한 뒤 정식 검사 전환 여부를 판단할 방침이다.

특히 보험 계약 정보에는 고객의 건강 상태와 질병 이력 등 민감한 개인정보가 포함될 수 있어 실제 유출 항목과 범위에 관심이 쏠린다.

금감원 관계자는 "보험권 첫 사례인 데다 보험 계약 정보에는 민감 정보가 많이 들어 있어 곧바로 현장점검에 돌입했다"고 말했다.

금감원은 보험 계약 관련 정보가 실제로 유출됐는지, 유출됐다면 어느 범위까지 포함됐는지와 개인정보가 마스킹(가림 처리)된 상태였는지 등을 확인할 계획이다.

이번 사고는 기존 은행권에서 발생한 침해사고와 공격 방식에 일부 차이가 있는 것으로 파악됐다. 다만 내부 핵심 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다는 게 금감원의 설명이다.

금감원 관계자는 "내부 DB까지 들어온 사고는 없다"며 "외부 접점에서 인증 없이 접속해 조회하는 방식으로 정보를 끌어간 것"이라고 설명했다.

국민은행 유출 119명→2210명…재검증하자 피해 18.6배 증가

기존 침해사고에 대한 정밀 재검증 과정에서 당초 발표보다 정보 유출 규모가 크게 늘어난 사례도 나왔다.

KB국민은행은 지난 26일 외부 해킹으로 인한 정보 유출 인원이 2091명 추가로 확인됐다고 밝혔다. 추가 유출 인원은 고객 1631명, 임직원 460명이다.

이에 따라 전체 유출 인원은 당초 발표한 119명에서 2210명으로 늘었다. 최초 발표보다 약 18.6배 증가한 규모다. 지난 2일 사고를 처음 발표한 지 24일 만이다.

유출된 정보 항목도 최초 공지 당시 17개에서 39개로 늘어난 것으로 알려졌다.

국민은행은 이번에 추가 확인된 정보 유출이 새로운 해킹 공격에 따른 것은 아니라고 설명했다. 감독당국 및 관계기관과 기존 침해 시스템의 데이터와 처리 절차를 교차 검증하는 과정에서 추가 피해가 확인됐다는 것이다.

국민은행은 당시 금감원의 정기 검사가 진행 중이어서 기존 침해사고에 대한 정밀 검증이 이뤄질 수 있었다.

문제는 다른 금융사에서도 비슷한 사례가 발생할 수 있다는 점이다.

금융당국은 지난 14일 기준 침해사고가 확인된 금융회사가 16곳, 개인정보 유출 규모는 약 10만 건에 달한다고 발표했다. 이후 국민은행에서만 2000명 이상의 추가 유출이 확인된 데다 미래에셋생명에서도 새로운 피해가 드러나면서 전체 피해 규모는 더 늘어날 가능성이 있다.

이찬진 금감원장은 지난 19일 국회 정무위원회 국정감사에서 금융회사들이 외부 공격에 노출된 시스템과 접점을 다시 전수조사하도록 조치했다고 밝힌 바 있다.

금감원 IT 검사 인력 35명뿐…추가 피해 확인도 '한계'

그러나 금융당국이 모든 피해 금융회사를 직접 점검하기에는 현실적인 한계가 있다.

현재 금감원의 IT 검사 인력은 35명 수준이다. 금융권 전반으로 침해사고가 확산하는 상황에서 피해가 확인된 금융회사를 일일이 현장점검하기에는 인력이 부족한 실정이다.

이에 금감원은 신한은행과 예가람저축은행 등 정보 유출 규모가 큰 금융회사를 중심으로 직접 현장점검을 진행하고 있다. 나머지 금융회사에 대해서는 자체 점검 결과를 제출받은 뒤 필요에 따라 표본 현장점검을 실시하는 방안을 검토 중이다.

이 원장도 국정감사에서 금감원의 직접 전수조사 요구에 대해 "현실적인 한계가 있다"며 표본조사를 최대한 전수조사에 준하는 수준으로 진행하겠다고 답했다.

다만 국민은행 사례처럼 정밀 재검증을 통해 당초 파악하지 못했던 피해가 추가로 확인되면서 금융회사의 자체 점검만으로 정확한 피해 규모를 파악할 수 있겠느냐는 우려도 나온다.

금감원 관계자는 "인력 등의 한계로 대부분 금융회사는 자체 점검을 진행할 수밖에 없다"며 "점검 결과를 받아본 뒤 현장점검을 어느 정도 규모로, 어떤 방식으로 진행할지 검토하고 있다"고 말했다.