대출모집인 전용 서비스 뚫렸다…신한은행 보안 허점 노출(종합)

본인 확인 우회해 무단 접근…유출 피해 고객 2만5천명
"은행권 보안 체계 질적 전환 필요"

[연합뉴스 자료사진]

(서울=연합뉴스) 한지훈 강수련 기자 = 신한은행 고객 정보 유출 사고는 대출모집인들이 이용하는 신한 모바일 홈페이지 서비스를 통해 이뤄진 것으로 전해졌다.

다른 은행에는 없는 경로를 우회한 해킹 사고여서 신한은행의 보안 취약성이 드러났다는 지적이 나온다.

정상혁 신한은행장은 1일 홈페이지에 게시한 사과문에서 "외부의 비인가자가 비정상적인 방법을 통해 일부 서비스에서 고객정보를 유출한 사실을 확인했다"고 밝혔다.

유출된 정보는 일부 고객의 주민등록번호 66건, 연계 정보(CI) 97건을 포함해 고객명, 전화번호, 연 소득, 대출 한도 등이다.

유출 피해 고객은 약 2만5천명에 달한다.

신한은행 대출모집인들은 다른 은행과 달리 모바일 홈페이지 'M 신한'을 통해 자신이 접수한 대출 처리 현황을 간편 조회할 수 있는데, 외부 비인가자가 이 경로를 통해 정상적인 본인 확인 절차를 거치지 않고 무단 접근했다는 게 은행 측 설명이다.

이 모집인 전용 서비스의 '통신 전문 구조'(코드)를 해킹해 침입한 뒤 조회 입력 값을 무작위로 대입해 정보를 호출하고, 그렇게 확보한 고객 번호로 연락처 등 다른 정보를 탈취했다는 것이다.

금융권 관계자는 "모집인이 대출 처리 현황을 홈페이지에서 조회할 수 있도록 한 시스템은 일반적인 방식이 아니다"라며 "비정상 접근을 원천 차단하는 장치도 마련하지 않은 것 같다"고 말했다.

신한은행은 다만, '신한 슈퍼SOL' 등 고객들이 직접 이용하는 애플리케이션과 이번 사고는 무관하다고 강조했다.

은행 관계자는 "이번 사고는 홈페이지 정보 유출로, 정식 인증이 필요한 고객용 뱅킹 앱과는 관련이 없다"고 거듭 선을 그었다.

금융위원회와 금융감독원은 이날 오전 긴급 대응회의를 소집했으며, 금융보안원이 전날부터 현장에 나가 사고 원인을 조사 중인 것으로 알려졌다.

최종 조사 결과 발표까지는 수 개월 소요될 것으로 보인다.

신한은행은 비상대책반을 구성하고, 전사적 비상대응체계를 가동 중이다. 외부 IP 차단, 관련 서비스 중단, 신규 보안 정책 적용 등 긴급 조치도 완료했다고 은행 측은 전했다.

전문가들은 은행들이 민감한 고객 정보와 재산을 지키기 위해 '패러다임 변화'가 필요하다고 강조한다.

김환국 국민대 정보보안암호수학과 교수는 "정보통신기술(ICT) 기술이 인공지능(AI) 기술로 전환되면서 공격 기술이 진보하는 가운데 현재 은행뿐 아니라 기업들의 보안 체계나 기술이 그 속도를 따라가지 못하는 측면이 있다"고 지적했다.

이어 "양적인 정보보안 인프라는 구축이 됐지만, 질적인 변화도 필요하다"며 "AI 기반의 방어 기술을 구축한다든지 과거보다 더 심도 있는 대응 체계를 마련하는 패러다임 전환이 필요하다"고 강조했다.

주요 시중은행에서 고객 개인정보가 유출된 사고는 올해 들어 벌써 두 번째다.

앞서 우리은행에서는 지난 7월 초 외부 개발업체가 임의 보관하고 있던 개인정보(닉네임·아이디) 1만7천551건이 해당 업체 직원 과실로 유출되는 사고가 발생했다.

hanjh@yna.co.kr

▶제보는 카톡 okjebo