[단독] 금융보안원 해킹 파장… 연중 최대 보안행사 일정까지 변경

금융당국·경찰 조사

금융권의 사이버 보안을 책임지는 금융보안원이 해킹 사고로 연중 최대 행사 일정까지 늦췄다. 금융권 보안 전문가들이 모여 사이버 위협 대응 방안을 논의하는 행사를 앞두고 정작 주최 기관의 시스템이 뚫린 것이다. 금융당국은 긴급 현장점검에 나섰고 경찰도 수사에 착수했다.

/금융보안원

11일 금융권에 따르면 금융보안원은 12일 서울 여의도 콘래드서울 호텔에서 개최하는 금융정보보호 컨퍼런스 '피스콘(FISCON) 2026'의 행사 시작 시간을 당초 오전 8시 20분에서 오전 10시로 1시간 40분 연기했다. 최근 발생한 해킹 사고에 대응하기 위해 행사 일정을 조정한 것이다.

피스콘은 금융보안원이 매년 개최하는 국내 최대 금융권 정보보호 행사다. 올해는 개최 20주년을 맞아 금융회사 최고경영자(CEO)와 정보보호최고책임자(CISO), 국내외 보안 전문가 등이 참석해 인공지능(AI) 시대의 사이버 위협과 대응 전략을 논의할 예정이었다. 그러나 행사 직전 주최 기관에서 정보 유출 사고가 발생하면서 일정에도 차질이 빚어졌다.

이번 금보원 해킹사고는 금융회사들이 개인정보 보호 실태를 자체 점검하고 평가자료를 제출하는 '정보보호 상시평가 시스템'에서 발생했다. 해커는 시스템의 접근 권한을 관리하는 과정에 존재하는 취약점을 악용해 금융감독원과 동일한 수준의 자료 열람 권한을 확보한 것으로 파악됐다.

금감원은 여러 금융회사의 평가자료를 확인할 수 있는 권한을 갖고 있다. 해커는 이를 악용해 허위 계정을 생성하고 시스템에 접속해 자료를 내려받은 것으로 전해졌다. 다만 실제 금감원 계정이 탈취되거나 계정 정보가 유출된 것은 아닌 것으로 확인됐다.

공격 과정에서는 100개가 넘는 인터넷주소(IP)가 동원된 것으로 알려졌다. 해커는 IP를 바꿔가며 접속했고, 지난 9일 오후 1~2시께 공격이 집중되자 금융보안원이 이상 징후를 포착했다. 금융보안원은 같은 날 오후 2시 19분께 해당 시스템의 접속을 차단했다.

현재까지 확인된 유출 규모는 개인정보 650여건이다. 개인신용정보 동의서 견본 등 행정서식 약 200건에 포함된 이름·생년월일 등 개인정보 300여건과 시스템 이용자의 이메일 주소, 일부 가림 처리된 이름·휴대전화번호 등 350여건이다. 금융회사 시스템 구성도 등 보안정보와 주민등록번호, 고객의 민감한 개인신용정보는 유출되지 않은 것으로 파악됐다.

금융보안원은 이번 공격이 특정 기관을 겨냥했을 가능성도 살펴보고 있다. 기존 금융회사들을 대상으로 한 무작위 취약점 공격과 양상이 다르다는 이유에서다. 다만 공격 주체와 최초 침입 시점 등은 아직 확인되지 않았다.

금융당국도 사고 경위 파악에 나섰다. 금융위원회는 이날 오전 점검반을 구성해 금융보안원에 대한 긴급 현장점검에 착수했다. 금융감독원도 현장에 인력을 투입해 시스템 접근 권한 관리 실태와 정보 유출 규모, 사고 대응 과정 등을 살펴보고 있다. 

경찰 수사도 시작됐다. 금융보안원은 경찰에 해킹에 사용된 IP 추적 등을 요청했으며 서울경찰청 사이버수사대가 관련 수사에 착수했다.

금융보안원은 피해 금융회사에 사고 사실을 통보하고 개인정보가 유출된 이용자에게도 안내할 방침이다. 추가 피해 여부를 조사하는 한편 정보보호체계 전반을 재점검하고 2차 피해가 발생하면 적극 배상하겠다는 입장이다.

한재희 기자
onej@chosunbiz.com