금융권 해킹 피해 확산…16개사 침해·정보 10만건 유출

보안점검 130개사 미흡…당국, 전수점검·CEO 책임 강화 추진
새마을금고 400여 명 정보유출…OK저축은행은 유출 여부 조사중

이억원 금융위원장과 이찬진 금융감독원장을 비롯한 금융권 협회장 및 금융사 최고경영자(CEO)들이 지난 4일 오후 서울 종로구 정부서울청사에서 열린 금융권 침해사고 관련 긴급 점검회의에 참석하고 있다. /제공=뉴스1

이달 초 초 금융권을 흔든 해킹 사고에 이어 OK저축은행과 새마을금고에서도 고객정보 침해 사례가 확인됐다. 금융당국은 침해사고가 확인된 금융사를 전 업권에 걸쳐 16개사로 파악하고 정보유출 규모를 10만건으로 추산했다. 앞선 사고와의 연관성을 조사 중인 가운데 금융사들의 보안점검에서도 미흡사항이 발견돼 당국은 보안 관리 체계를 한 층 더 강화하기로 했다.

14일 금융위원회는 정부서울청사에서 신진창 사무처장 주재로 금융감독원과 금융보안원, 관계부처 등이 참석하는 '제2차 긴급 상황대응 회의'를 열었다. 지난 잇따른 해킹 사고 이후 실시한 보안점검 결과를 확인하고 재발 방지 방안을 논의하기 위해서다.

금융위에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융사는 총 16개사다. 신한·국민·부산·하나은행과 예가람·웰컴·DB·OK저축은행, 현대캐피탈·산은캐피탈 등이다. 온라인투자연계금융업체 PFCT·모우다, 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅, 새마을금고중앙회에서도 침해사고가 확인됐다.

현재까지 파악된 전체 정보유출 규모는 성명과 연락처, 주민등록번호, 이메일 등 10만건이다. 금융사들이 공유된 공격자 IP 등을 바탕으로 침해 여부를 확인하고 있어 사고가 확인된 금융사 수는 더 늘어날 수 있다.

당국은 사고가 신고된 회사에 공격자 IP 차단과 보안패치, 관련 서비스 중단 등 추가 침해 방지 조치를 취하도록 하고 있다. 정보가 유출된 고객에게는 유출 사실과 대응요령을 안내하는 등 소비자 보호 조치도 실시하도록 관리·감독하고 있다.

■보안점검에도 미흡…관리체계·CEO 책임 강화

잇단 사고 이후 실시한 보안점검에서도 기본적인 조치가 미흡한 사례가 드러났다. 지난 8일까지 전 금융권 555개사가 점검한 결과, 130개사가 일부 미흡사항을 보고했다. 최신 보안패치 미적용과 24시간 관제체계 미구축, 외부 시스템의 인증·접근통제 미흡이 확인됐다. 해당 회사들은 보완계획을 제출하고 조치에 나섰다.

당국은 외부 접점과 인증체계, 내부통제 등 보안관리 전반을 전수점검하고 금융사 간 위협정보 공유를 확대할 계획이다. 취약점 점검을 강화하고 대응 여력이 부족한 중소형 금융사에 대한 보안 지원도 추진한다. 보안점검 권고가 현장에서 실제로 이행되도록 CEO(최고경영자) 책임과 제재 실효성을 높이는 방안도 검토한다.

신 사무처장은 "수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다. 이어 "금융권 보안체계 전반을 재점검하고 근본적인 제도개선을 추진하겠다"며 "'AI 공격은 AI로 방어'하는 보안체계 확립을 위한 망 분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진하겠다"고 밝혔다.

■새마을금고 정보유출…OK저축은행은 유출 여부 조사

앞서 지난 13일에는 새마을금고의 고객정보 유출과 OK저축은행 고객 정보 외부 유출 의심 사례가 알려졌다.

새마을금고중앙회는 공제보험 회원 400여 명의 개인·신용정보가 유출됐다고 밝혔다. 이름과 연락처, 주소뿐 아니라 계좌번호와 암호화된 주민등록번호, 잔액 등이 유출 항목에 포함됐다.

새마을금고중앙회는 기존 공격에 사용된 IP는 차단했으며, 이번 공격은 다른 IP를 통해 이뤄졌다고 설명했다. 당국은 앞선 사고와의 연관성과 동일 공격자 여부 등을 조사하고 있다.

OK저축은행은 대표 홈페이지의 대출신청 페이지를 통한 고객정보 외부 유출 가능성을 조사 중이다. 유출이 의심되는 고객은 200명 이내로 알려졌으며, 실제 유출 여부와 정확한 범위는 아직 확인되지 않았다.

김소현 머니투데이방송 MTN 기자