[단독] 4년 전 ‘유출 우려’ 지적당한 금융보안원 시스템, 진짜 뚫렸다

금융보안원 레크테크포털도 해킹 취약 우려 커져

최근 해킹을 당한 금융보안원의 정보보호 상시평가 지원시스템과 관련해 금융위원회가 4년 전 자료 유출 가능성을 지적하고 보안 강화를 요구한 것으로 확인됐다. 금융회사가 제출한 자료가 외부로 새어 나갈 수 있다는 지적을 받았던 시스템에서 실제 유출 사고가 발생한 것이다. 금융보안원이 운영하는 또 다른 사이트인 ‘레그테크포털’도 이미 두 차례 보안 지적을 받는 등 해킹에 취약한 상태라는 지적이 나온다.

금융위가 2022년 2월 공개한 특정감사 결과에 따르면 금융보안원은 코로나19로 재택근무를 하는 금융회사가 많다는 점을 고려해 금융사 담당자들이 자택의 개인 PC에서도 상시평가 지원시스템에 올라온 증빙자료를 열람할 수 있도록 했다. 이 시스템은 금융회사가 개인신용정보 보호 실태를 자체 점검한 결과와 증빙자료를 제출하면 금융보안원이 이를 서면으로 점검하는 데 쓰인다.

금융위는 증빙자료에 금융회사의 중요 정보가 담길 수 있어 외부 접근에 노출된 단말기에서 열람할 경우 유출 위험이 있다고 봤다. 이에 해당 단말기에서는 증빙자료 열람을 제한하는 등 접속 환경의 보안을 강화하라고 금융보안원에 요구했다.

같은 감사에서 금융위는 ‘레그테크 포털’의 자료 접근 방식도 지적했다. 레그테크 포털은 금융보안원이 금융회사의 보안 규제 대응과 보고서 제출 업무를 지원하기 위해 운영하는 온라인 시스템이다. 

금융보안원은 이곳에서 금융회사들이 제출한 침해사고 대응훈련과 비상대응훈련 결과보고서를 관리했다. 당시 금융회사 담당자는 자택의 개인 PC 등 외부 인터넷망에서도 보고서를 열람할 수 있었다. 금융위는 이 보고서에 금융회사의 침해사고 대응과 정보보호 체계에 관한 중요 정보가 담긴 만큼 접근 통제 절차를 보완하라고 요구했다.

3년 뒤인 지난해 국정감사에선 레그테크포털에서 열람 권한이 없는 사람도 보고서에 접근할 수 있는 취약점이 발견됐다. 당시 추경호 국민의힘 의원실에 따르면 금융위는 해당 취약점을 개선하고 금융보안원이 운영하는 다른 웹사이트에도 비슷한 문제가 있는지 점검하라고 요구했다. 금융보안원은 당시 지적된 취약점에 대해 즉시 후속 조치를 했다고 밝혔다.

금융보안원은 지난 9일 오후 3시쯤 상시평가 지원시스템에 대한 외부의 비정상적인 접근으로 정보가 유출된 사실을 파악하고 시스템 접속을 차단했다. 유출 자료에는 개인신용정보 제공 동의서 견본 등 행정서식 약 200건과 서식에 담긴 이름·생년월일 등 개인정보 300여건이 포함됐다. 2022년 감사에서 지적된 접속 환경과 이번 침해 경로의 관련성은 확인되지 않았다.

금융권 관계자는 11일 “이번에 뚫린 곳은 상시평가 지원시스템이지만 보안원이 운영하는 레그테크포털에서도 권한 없는 사람이 보고서를 볼 수 있다는 지적이 수차례 나왔다”며 “금융보안원이 운영하는 다른 사이트의 보안 수준도 하루 빨리 점검해야 한다”고 말했다. 
박세환 기자 foryou@kmib.co.kr