금융사 4곳 중 1곳 보안 '미흡'…연쇄 해킹에 취약점 '줄줄이'

(서울=뉴스1) 김도엽 기자 = 한 달 가까이 이어진 금융권 연쇄 해킹으로 침해사고가 확인된 금융회사가 20곳으로 늘었다. 고객정보 유출 피해도 확대되는 가운데 금융당국의 자체 점검에서 금융회사 4곳 중 1곳꼴로 보안 관리 미흡 사항이 확인돼 추가 사고에 대한 우려가 커지고 있다.

공격에 이용된 것으로 의심되는 인터넷 프로토콜(IP) 주소가 한 달 새 700개 넘게 공유된 데다 웹사이트 개발에 널리 쓰이는 PHP에서도 신규 보안 취약점이 발견되면서 금융권의 보안 대응에 비상이 걸렸다.

16곳·10만 건에서 20곳으로…고객정보 유출 잇따라

29일 금융권에 따르면 최근 침해사고가 발생한 금융회사는 총 20곳으로 파악됐다.

지난달 말 은행권에서 시작된 침해사고는 저축은행과 캐피탈, 상호금융, 온라인투자연계금융업(온투업), 전자금융업, 가상자산업계에 이어 보험·금융투자업계까지 확산했다.

업권별로는 은행 4곳(KB국민·신한·하나·BNK부산), 저축은행 4곳(OK·웰컴·DB·예가람), 상호금융 1곳(새마을금고), 온투업 2곳(모우다·PFCT), 전자금융업 1곳(브라이트픽스), 가상자산사업자 3곳(빗썸·스트리미·프라뱅), 여신전문금융업 2곳(현대·산은캐피탈), 보험 1곳(미래에셋생명), 금융투자업 2곳(대신증권·미래에셋자산운용) 등이다.

금융당국이 지난 14일 발표한 피해 규모는 금융회사 16곳, 정보 유출 약 10만 건이었다. 이후 대신증권에서 고객 3만 8490명의 개인·신용정보 유출이 추가로 확인됐고, 다른 회사에서도 피해 범위에 대한 조사가 이어지고 있다.

기존 피해 회사 중에서는 예가람저축은행의 정보 유출 대상이 4만 3246명으로 가장 많았다. 신한은행은 2만 5729명, 모우다는 잠정 1만 8900명으로 파악됐다.

KB국민은행도 추가 검증 결과 정보 유출 대상이 당초 119명에서 2210명으로 늘었다. 웰컴저축은행은 2117명, OK저축은행은 518명, 새마을금고는 400명대의 정보 유출 피해가 확인됐다.

다만 금융회사별로 고객 수와 유출 정보 건수의 집계 기준이 다를 수 있고 일부 회사는 조사가 진행 중이어서 전체 피해 규모는 추가로 달라질 수 있다.

555곳 중 130곳 보안 미흡…공격 IP도 700개 넘어

금융권 전반에 보안 관리의 빈틈이 남아 있다는 점도 문제다.

금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 보안 체크리스트를 점검한 결과, 130곳(23.4%)이 미흡 사항을 보고했다.

금융회사 약 4곳 중 1곳에서 보안 관리상 개선이 필요한 사항이 확인된 셈이다. 다만 미흡 사항이 발견됐다고 해서 해당 금융회사가 실제 침해사고를 겪었거나 정보가 유출됐다는 의미는 아니다.

공격 시도도 이어지고 있다.

금융보안원이 금융회사들과 공유한 공격 의심 IP는 최근 한 달간 700개를 넘어섰다. 금융회사들이 해당 IP의 접근을 차단하고 접속 이력을 점검하고 있지만 새로운 IP를 이용한 접근이 잇따르면서 대응에 어려움을 겪고 있다.

지난 21일에는 북한에 할당된 IP 대역에서 국내 금융권을 대상으로 한 스캔성 접근이 440만 건 넘게 탐지돼 금융당국이 보안 점검을 요청하기도 했다.

다만 해당 IP 대역의 접근이 실제 침해로 이어졌는지, 최근 금융권 연쇄 해킹과 관련이 있는지는 확인되지 않았다. IP의 할당 국가만으로 실제 공격 주체를 특정할 수도 없다.

위협정보 공유체계에도 보완이 필요하다는 지적이 나온다.

금감원과 금융보안원이 확보한 공격 관련 정보는 금융보안 통합관제시스템(FIRST) 등을 통해 금융권에 전파된다. 그러나 개별 금융회사가 자체적으로 탐지한 모든 공격 시도와 위협정보가 다른 금융회사에 자동으로 공유되는 것은 아니다.

새로운 공격 기법이나 접속 경로가 확인되더라도 금융권 전체가 이를 즉시 파악해 대응하기에는 한계가 있다는 지적이다.

PHP 신규 취약점까지…금융당국 대응 강화

최근에는 웹사이트와 업무용 시스템 개발에 널리 쓰이는 프로그래밍 언어 PHP에서도 신규 보안 취약점이 공개되면서 우려가 커지고 있다.

지난 21일 PHP 관련 취약점 2건(CVE-2026-109618, CVE-2026-109619)이 공개됐으며, 지난 24일에는 한국인터넷진흥원(KISA)이 또 다른 취약점(CVE-2026-115560)에 대한 임시 대응 조치를 권고했다.

앞서 공개된 취약점은 보안 업데이트를 통해 대응할 수 있지만, 추가 취약점에 대해서는 당시 정식 보안 패치가 제공되지 않아 임시 완화 조치가 필요한 상황이었다.

금융권에서도 관련 시스템의 사용 현황과 취약점 노출 여부를 점검하고 있다. 저축은행업권은 지난 26일 취약점이 공개된 PHP 버전의 사용 현황을 취합한 것으로 전해졌다.

다만 해당 취약점이 이번 금융권 연쇄 침해사고에 실제 이용됐다는 사실은 확인되지 않았다.

금융당국은 이날 긴급회의를 열고 금융회사뿐 아니라 가상자산업권 등에 대해서도 보안 대응 수준을 강화하는 방안을 추진하기로 했다.

침해사고가 발생한 회사에는 관계기관이 신속히 현장조사에 착수하고, 소비자 피해가 발생할 경우 배상 등 필요한 보호 조치가 이뤄지도록 관리·감독할 방침이다.

이억원 금융위원장은 다음 달 4일 잠정적으로 'AI 보안위협 대응 금융권 간담회'를 열고 보안 강화 조치의 이행 상황과 추가 대응 방안을 점검할 예정이다.

간담회에서는 AI를 활용한 해킹 위협 대응과 보이스피싱 탐지체계 고도화, 망 분리 이후의 새로운 보안체계 구축 등이 논의될 것으로 보인다.