금융권 해킹 사고가 은행뿐 아니라 저축은행과 캐피탈사, 전자금융업체 등으로 번진 가운데 금융당국이 확인한 침해사고 발생 회사가 16곳으로 늘었다. 지금까지 파악된 개인정보 유출 규모는 약 10만건이다. 피해 여부에 대한 추가 확인이 진행 중이어서 이번 수치는 최종 집계가 아니다.
금융위원회는 10월 14일 오후 정부서울청사에서 금융감독원과 금융보안원 등 관계기관이 참석한 제2차 긴급 상황대응 회의를 열고 조사 결과와 대응 방안을 점검했다. 매일경제와 뉴시스 등의 현장 보도에 따르면 당국은 금융회사 보안체계와 관리시스템을 전반적으로 다시 살피기로 했다.
추가로 사고가 확인된 곳에는 산은캐피탈과 DB저축은행, 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅 등이 포함됐다. 이들은 기존에 사고가 알려진 은행 등과 함께 집계됐다. DB저축은행은 해킹 시도가 보안시스템으로 차단됐으며 일반 고객정보 유출은 없었다고 별도로 설명했다. 회사별 침입 경로와 정보 유출 범위는 다를 수 있어, 16곳 모두에서 같은 종류나 같은 양의 정보가 빠져나간 것으로 읽어서는 안 된다.
당국이 파악한 유출 정보에는 이름과 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 계좌 비밀번호와 카드번호처럼 직접적인 부정결제에 쓰일 우려가 있는 정보의 유출은 확인되지 않았다고 설명했다. 이는 현재까지의 조사 결과이며 모든 추가 피해 가능성이 사라졌다는 의미는 아니다. 금융회사들은 공유된 공격 정보를 바탕으로 침해 여부를 계속 확인하고 있다.
기본적인 보안관리의 빈틈도 드러났다. 금융당국이 전체 555개 금융회사에 보안 점검 항목을 확인하도록 한 결과, 425개사는 적정하다고 제출했지만 130개사는 미흡사항을 보고했다. 전체의 23.4%에 해당한다. 이 수치는 해킹 피해 회사 수와는 다른 지표로, 점검 과정에서 보완할 사항을 확인한 회사의 비중이다.
이코노미스트 보도에 따르면 주요 미흡사항은 최신 보안패치 미적용, 기술지원이 끝난 시스템 관리 부족, 24시간 실시간 보안관제 미비 등이었다. 외부에서 접근 가능한 시스템의 인증이나 접근통제가 충분하지 않은 사례도 확인됐다. 전자금융업과 온라인투자연계금융업에서는 상대적으로 취약점이 많이 드러났다.
금융당국은 금융회사가 자체 관제 과정에서 발견한 공격 징후도 다른 회사에 신속하게 전달할 수 있도록 정보공유 체계를 손질할 방침이다. 금융감독원과 금융보안원이 확보한 정보에 더해 각 회사가 알아낸 위협정보를 통합관제시스템으로 공유하는 방식이다. 외부에 노출된 시스템과 소스코드의 취약점을 인공지능으로 점검하는 기반도 추진한다.
대형 금융회사의 취약점 점검·평가 횟수를 연 1회에서 연 2회 이상으로 늘리고, 최고경영자와 정보보호최고책임자의 책임을 더 분명히 하는 방안도 제시됐다. 다만 제도 개선의 구체적인 시행 일정이나 회사별 적용 범위는 후속 발표를 확인해야 한다.
머니투데이는 별도 취재를 통해 금융당국이 하드웨어와 소프트웨어 등 정보기술 자산을 전산으로 식별·관리하도록 의무화하는 방안도 검토하고 있다고 보도했다. 이 방안은 확정된 법령이 아니며, 개정 방식과 시기도 정해지지 않았다. 당국은 당장의 추가 침해 차단과 소비자 보호 조치를 진행하면서 제도 개선을 병행하고 있다.
출처
