[단독] ‘운영자 외부 접속 차단’ 발주한 금융보안원…직접 검증 맡은 시스템 뚫렸다

금융보안원이 최근 해킹당한 ‘정보보호 상시평가 지원시스템’의 기능개선 사업을 발주하면서 입찰 참여 업체에 운영자 계정의 외부 접속을 차단하고, 업무시간 외 접속이나 과다 조회 기록을 확인할 수 있는 기능을 구현하라고 요구한 것으로 확인됐다. 업체에 요구할 보안 요건은 세세하게 정해뒀지만 실제 시스템의 취약점을 분석·평가하고 보완을 요구하는 일은 발주처인 금융보안원의 몫이었다. 정작 금융보안원이 보안을 책임진 이 시스템에서 해킹으로 금융회사 제출 자료 일부가 유출된 것이다.

국민일보가 2020년 4월부터 2023년 4월까지 금융보안원이 낸 상시평가 지원시스템 관련 입찰공고 6건과 제안요청서 6건을 분석한 결과 보안원은 최초 구축과 데이터베이스(DB) 서버 도입, 기능개선에 이르기까지 단계마다 입찰 참여 업체에 높은 보안 수준을 요구했다. 

금융보안원은 2020년 4월 최초 구축 사업을 발주하면서 입찰 참여 업체에 아이디와 비밀번호 외에 문자메시지 일회용 비밀번호(OTP) 인증을 추가하고, 관리자 페이지를 분리해 접속 가능한 IP 주소를 제한하도록 했다. 금융회사가 올린 증빙파일과 사용자 개인정보는 암호화하고, 파일을 올리거나 내려받거나 삭제한 이력은 초 단위까지 남기도록 했다.

이 시스템은 금융회사의 개인신용정보 관리·보호 실태를 평가하기 위해 마련한 자료 제출 창구다. 금융위원회는 2020년 12월 기존 점검 기준이 포괄적이고 금융기관 3000여곳에 평가 결과를 충분히 돌려주기 어렵다며 상시평가제 도입 방안을 발표했다. 개인신용정보 수집부터 삭제까지 점검 기준을 9개 대항목, 143개 세부 항목으로 구체화했다. 제도는 2021년 2월 4일 본격 시행됐다. 금융위는 체계적인 점검과 모니터링을 통해 금융권 정보 유출 사고 가능성을 낮출 것으로 기대했다.

금융회사는 이 시스템에 개인신용정보 관리 현황을 입력하고 자체평가 결과와 점검 서식을 제출해 왔다. 금융보안원은 자료를 서면으로 검토해 점수나 등급을 매기고 매년 금융위에 보고했다. 금융위와 금융감독원은 평가 결과를 바탕으로 금융회사의 보안 수준을 파악하고 현장점검과 테마검사에 활용했다. 금융보안원 연차보고서에 따르면 서면점검을 받은 곳은 2022년 2832개사, 2023년 2883개사였다. 금융보안원은 지난해와 올해 각각 약 3000개사를 상시평가 대상으로 삼았다.

금융보안원은 2021년 3월 신규 DB 서버 도입을 공고했고, 그해 하반기에는 기능개선 사업을 발주했다. 2021년 9월 제안요청서는 기능 테스트와 보안 검증을 별도로 규정했다. 업체에는 브라우저별로 화면과 기능이 정상 작동하는지 시험하고 소스코드 취약점 진단 결과를 제출하도록 했다. 구축 이후에는 금융보안원이 직접 취약점을 분석·평가하고, 업체가 발견된 문제를 보완하는 구조였다. 새 취약점이 발견돼 금융보안원이 요청하면 업체는 유지보수 기간과 별개로 기존 기능까지 보완하도록 했다.

2023년 기능개선 제안요청서에는 운영자 권한 계정의 외부 IP 접속을 차단하고, 직전 접속 때와 IP 주소가 달라지면 문자나 이메일로 추가 인증을 하도록 하는 요건이 담겼다. 이번 사고에서 공격자는 IP 주소를 수시로 바꾸며 정상 접속인 것처럼 접근을 시도한 것으로 전해졌다. 공격자가 어느 접속 경로를 이용했고, IP가 바뀔 때 추가 인증을 요구하는 기능이 그 과정에서 제대로 작동했는지가 이번 사고의 쟁점이 될 전망이다.

보안원은 입찰 업체에 업무시간 외 접속과 과다 조회를 이상행위로 분류할 기준을 정하고 관련 기록을 조회하는 기능도 요구했다. 업로드 파일은 악성코드를 검사한 뒤 암호화해 저장하도록 했다. 금융보안원은 그해 12월 시스템 기능개선을 연차보고서의 주요 실적으로 내세우기도 했다.

이미 금융보안원은 금융권의 해킹 위협에 대응할 조직도 확대한 바 있다. 지난 2월 모의해킹 전담 조직인 ‘RED IRIS실’과 웹보안점검팀을 신설하고, 모의해킹 조직에 화이트해커를 배치했다. 금융회사 178곳을 대상으로 공개용 홈페이지 점검 등을 포함한 취약점 분석·평가를 추진하면서 전자금융기반시설 취약점 평가 항목도 지난해 789개에서 올해 869개로 늘렸다. 

지난 4월에는 금융회사 상시평가에서 접근권한과 접속기록, 이상행위 감독, 취약점 점검, 침입 탐지·차단 등 8개 항목의 판단 기준을 강화했다. 금융회사가 보안 대책을 실제로 이행했는지와 취약점을 발견한 뒤 어떻게 조치했는지까지 살피겠다고 했다. 그럼에도 해킹을 막을 순 없었다.

현재까지 파악된 유출 자료는 개인신용정보 동의서 견본 등 행정서식 약 200건, 서식에 포함된 이름·생년월일 등 개인정보 300여건, 일부를 가린 시스템 이용자 정보 350여건이다. 금융보안원은 유출 자료에 금융회사 시스템 구성도나 고객의 개인신용정보 등 민감정보는 포함되지 않았다고 설명했다.

금융위는 11일 금융보안원을 방문해 해킹 사고 경위와 대응 상황을 확인할 예정이다. 금융위는 금융보안원에 사고 경위를 규명하고, 해킹당한 상시평가 지원시스템을 포함해 전체 시스템의 보안 상태를 다시 점검하라고 지시한 것으로 알려졌다.

한 금융권 관계자는 “민간 회사는 사고가 나면 금융당국의 검사와 제재를 받는데, 금융보안원은 검사 대상도 아니라 형평성에 맞지 않는다”며 “남의 보안을 평가하는 곳이라면 스스로부터 철저하게 돌아봐야 한다”고 지적했다.
박세환 기자 foryou@kmib.co.kr