미래에셋증권 해킹 파문.. 이틀 연속 외부 공격에 속수무책
퇴직자·외주직원 포함 임직원 3만5255명 개인정보 유출
접속 경로 차단·당국 보고…금전적 피해는 아직 확인 안 돼
피싱·스미싱 악용 우려…금융권 보안체계 전반 점검 필요
[지데일리] 금융회사의 보안망이 뚫리면서 고객과 임직원 수만 명의 개인정보가 외부로 유출되는 사고가 발생했다.
국내 주요 금융투자회사인 미래에셋증권의 모바일웹과 사내 그룹웨어가 외부 해킹 공격을 받으면서 고객 계좌번호와 임직원 개인정보가 대거 노출된 것으로 확인됐다. 금융회사에 대한 신뢰가 보안 역량과 직결되는 상황에서 이번 사고는 금융권 전반의 사이버 보안 체계를 다시 점검하는 계기가 될 전망이다.
미래에셋증권은 모바일웹의 휴대전화 인증 로그인 서비스와 사내 그룹웨어가 외부 공격을 받아 일부 정보가 유출됐다고 밝혔다. 해킹 공격은 지난 4일과 5일 연이어 발생했으며, 회사는 사고를 인지한 뒤 비상대응체계를 가동하고 관련 시스템에 대한 긴급 점검에 착수했다.
유출된 정보는 고객과 임직원 자료로 나뉜다. 고객 약 3800명의 계좌번호가 외부에 노출됐으며, 임직원은 퇴직자와 외주직원을 포함해 총 3만5255명의 개인정보가 유출된 것으로 파악됐다.
임직원 정보에는 이름과 사번, 이메일 주소, 휴대전화 번호, 암호화된 비밀번호 등이 포함됐다. 고객 계좌번호와 조직 내부 인력의 신상정보가 동시에 노출됐다는 점에서 피해 범위와 추가적인 악용 가능성에 대한 우려가 커지고 있다.
미래에셋증권은 주민등록번호와 여권번호, 운전면허번호 등 고유식별정보와 민감정보는 유출되지 않았다고 설명했다. 현재까지 확인된 금전적 피해도 없다는 입장이다. 회사는 해킹에 이용된 접속 경로를 차단하고 금융당국에 관련 내용을 보고하는 등 후속 조치를 진행하고 있다.
그러나 금전적 피해가 확인되지 않았다는 사실만으로 사고의 위험성이 해소된 것은 아니다. 계좌번호와 휴대전화 번호, 이메일 주소 등이 결합되면 금융회사를 사칭한 피싱이나 스미싱, 맞춤형 사기 범죄에 악용될 가능성이 있다. 암호화된 비밀번호 역시 안심할 수 있는 요소는 아니다. 암호화 방식과 보안 수준, 추가적인 인증 절차 등에 따라 정보의 안전성이 달라질 수 있기 때문이다.
특히 고객 정보뿐 아니라 임직원 3만5000여 명의 자료까지 유출됐다는 점은 내부 업무망과 외부 접속 서비스의 보안 관리에 허점이 있었는지 살펴볼 필요성을 제기한다.
금융회사는 고객 자산을 관리하는 동시에 방대한 개인정보를 보유하고 있어 일반 기업보다 높은 수준의 보안 책임이 요구된다. 모바일 서비스와 사내 업무망을 연결하는 인증 체계, 외주업체의 접근 권한, 비밀번호 관리와 침입 탐지 시스템 등이 제대로 작동했는지도 조사 대상이다.
이번 사고에서 또 하나 주목할 대목은 해킹 공격이 이틀에 걸쳐 이어졌다는 사실이다. 최초 침입 이후 추가 공격을 얼마나 신속하게 탐지했는지, 공격자가 내부 시스템에 어느 정도 접근했는지, 유출 정보가 외부로 전송된 경로는 무엇인지 명확히 밝혀져야 한다. 단순한 접속 경로 차단에 그치지 않고 사고 원인과 보안 취약점을 규명하는 작업이 뒤따라야 하는 이유다.
금융권의 디지털 전환이 빨라질수록 사이버 공격의 위협도 커지고 있다. 미래에셋증권은 피해 고객과 임직원에게 유출 항목과 후속 조치를 투명하게 안내하고 추가 피해를 막기 위한 보호 대책을 마련할 필요가 있다. 금융당국 역시 사고 경위를 면밀히 조사하고 유사한 취약점이 다른 금융회사에도 존재하는지 점검해야 한다.
금융회사의 경쟁력은 투자상품과 수익률뿐 아니라 고객 정보를 얼마나 안전하게 지켜내느냐에 달려 있다. 이번 사고가 금융권 보안 투자의 실효성을 되묻는 계기가 되고 있다.