[단독]'연 350조 보증' SGI서울보증, 보안 인증도 안 받았다

[보안 불감증 도마 위…전산장애 장기화]
ISMS 인증 의무대상은 아니지만
보안에 민감한 기업 대부분 받아
보안 소홀 비판은 불가피할 듯
아직 개인정보 유출 확인 안돼
금융당국 제재·검사 잇따를 듯

[이데일리 김국배 기자] 랜섬웨어 공격을 받은 것으로 추정되는 SGI서울보증의 서비스 장애가 하루 넘게 이어지고 있다. 이런 가운데 SGI서울보증은 정보보안 인증조차 받지 않은 것으로 드러나 보안에 소홀히 했다는 지적이 제기된다. 랜섬웨어는 시스템을 감염시키고 복구 조건으로 돈(암호화폐)을 요구하는 공격이다.

SGI서울보증 공식 PR 영상 캡처

15일 금융당국 등에 따르면 SGI서울보증은 정보보호 관리체계(ISMS)와 개인정보 보호 인증(ISMS-P)을 받지 않았다. SGI서울보증이 ISMS 인증 등의 의무 대상은 아니나 보안에 민감한 기업 대부분 해당 인증을 받는다. ISMS 인증을 받았다고 해킹을 완전히 막을 수 있는 것은 아니지만 적어도 일정 수준의 보안 체계가 작동하고 있다는 평가 지표로 여겨진다.

[이데일리 김일환 기자]

실제로 SGI서울보증도 지난 3월 상장 당시 제출했던 증권신고서에서 “ISMS 인증을 추진함으로써 금융 보안 위협에 대응하고자 한다”고 밝혔지만 이번 사고 시점까지 인증을 받지 못했다. SGI서울보증은 자산 규모는 올해 1분기 기준 9조 5089억원이며 연간 신규 보증서 발급 건수는 1351만 8857건, 보증 규모는 350조원에 이른다. 국내 보증보험 시장에서 약 24%의 점유율을 유지하며 국민 생활과 직결되는 보증 서비스를 폭넓게 제공하고 있다.

업계에선 이번 서비스 장애를 내부망 해킹 공격에 따른 것으로 추정힌다. 국내 금융사는 망분리가 의무화돼 있다. 악성코드에 감염된 직원 PC를 통해 내부망에 접속했는지 등 정확한 침투 경로와 수법은 조사가 끝나봐야 알 수 있을 것으로 보인다. 일각에선 보안 불감증에 따른 인재(人災) 가능성에 무게를 두고 있다. 사고 발생 이후 금융감독원, 금융보안원 등이 사고 조사에 착수한 상태다.

서비스 장애가 이틀째 이어지는 와중에 정보 유출 가능성도 거론된다. 전·월세 대출과 같은 금융기관 대출부터 휴대전화 할부금까지 각종 거래에서 신원 보증 업무를 담당하는 SGI서울보증의 특성상 처리하는 개인정보도 적지 않다. 일단 내부망에 침입한 해커가 고객 개인정보에 접근했을 가능성이 있다. 다만 현재까진 개인정보 유출은 확인되지 않았으며 협상을 위한 해커의 접근도 없었다고 한다. 금융당국 관계자는 “조사 결과를 더 지켜봐야겠지만 아직 정보 유출 흔적은 발견되지 않았다”고 했다.

SGI서울보증만의 문제가 아니라는 우려도 제기된다. 보험업계에서 ISMS 인증 등은 삼성생명 정도의 대형사만 받고 있다. 금보원에 따르면 현재 ISMS 인증을 받은 곳은 하나생명·현대해상·KB손해보험 등 10곳, ISMS-P 인증은 교보생명·삼성화재·삼성생명 등 4곳이다. 이는 보안 투자가 부족하다는 단면으로 국회 국정감사 때도 지적하던 문제다.

이례적으로 긴 장애 시간에 시스템 복구 이후 금융당국의 검사와 제재도 불가피할 것으로 관측된다. ‘전자금융감독규정’에 따르면 전자금융사고 시 핵심업무의 복구 목표 시간은 3시간 이내로 하되, ‘보험업법’에 의한 보험사 핵심 업무는 24시간 이내로 하게 돼 있다. SGI서울보증 관계자는 “피해 확산 방지와 신속한 복구를 위해 대응하고 있다”며 “이번 장애로 인한 피해 고객 및 기업에 대해서는 사실관계가 확인되고, 피해 금액이 확정될 경우 전액 보상할 예정”이라고 했다.

김국배 (vermeer@edaily.co.kr)