해킹 한 달, 금융사 17곳 털려… 수습 커녕 확산 중 < 금융 < 파이낸스 < 기사본문

금융권을 덮친 연쇄 해킹 사태가 한 달을 맞았지만 좀처럼 진정될 기미를 보이지 않고 있다. KB국민은행에서는 최초 발표보다 18배 넘는 개인정보 유출이 뒤늦게 확인됐고, 보험사에서도 새로운 침해사고가 발생했다. 금융당국이 긴급 점검에 나섰지만 사고가 잇따르면서 금융회사들의 보안 대응 능력을 두고 우려는 깊어지는 모습이다.

금융권을 덮친 해킹 공격 피해가 늘고 있다. 국민은행은 같은 해킹 사고로 유출된 개인 정보가 2091건이 더 있다고 밝혔고 미래에셋생명에서도 해킹 사고가 발생했다./뉴스1

27일 금융권에 따르면 지난달 27일 국민은행에 대한 해킹 공격 이후 은행과 저축은행, 캐피탈, 상호금융 등 금융권 전반에서 침해사고가 잇따라 확인됐다. 금융위원회와 금융감독원이 지난 14일 집계한 침해사고 발생 금융회사는 16곳으로, 당시 파악된 개인정보 유출 규모만 약 10만건에 달한다. 이후 미래에셋생명에서도 사고가 확인되면서 침해사고가 발생한 금융회사는 최소 17곳으로 늘었다.

사고는 업권을 가리지 않았다. 신한·국민·하나·BNK부산은행 등 은행 4곳을 비롯해 예가람·웰컴·DB·OK저축은행 등 저축은행 4곳에서 침해사고가 확인됐다. 현대캐피탈과 산은캐피탈, 새마을금고중앙회도 피해를 입었다. 온라인투자연계금융업체인 피에프씨테크놀로지스(PFCT)와 모우��, 전자금융업체 브라이트픽스, 가상자산사업자인 스트리미와 프라뱅에서도 사고가 발생했다.

문제는 금융권의 사고 대응 능력이다. 이미 발생한 사고에서도 뒤늦게 추가 피해가 드러나면서 금융회사들이 침해사고의 범위를 얼마나 정확하게 파악하고 있는지 의문이 제기되고 있다. 국민은행은 지난 26일 기존에 발표한 119명 외에 2091명의 개인정보가 추가로 유출된 사실을 확인했다고 밝혔다. 전체 유출 인원은 2210명으로 최초 발표의 약 18.6배로 늘었다. 추가 확인된 인원 가운데 고객은 1631명, 임직원은 460명이다.

국민은행에 따르면 사고 유출 경위와 원인을 파악해 당국에 보고한 이후 금감원과 함께 관련 데이터를 정밀 검증하는 과정에서 추가 유출이 의심되는 정황을 발견했다. 국민은행 관계자는 “기존 사고에 대한 원인 분석을 진행하다 의심스러운 부분이 발견돼 데이터를 더 자세히 살펴봤고, 그 과정에서 추가 유출을 확인했다”고 말했다. 초기 조사에서 유출이 아닌 것으로 판단했던 자료가 재검증 과정에서 새롭게 확인됐을 가능성이 있다는 설명이다.

결국 피해 규모를 뒤늦게 파악하는 등 해킹 공격을 처음 인지하고 대응하는 단계부터 허점이 드러났다는 지적이 나온다. 지난 19일 국회 정무위원회 국정감사에서 국민은행과 신한은행의 초기 대응 부실이 도마에 오르기도 했다.

국민은행은 지난달 27일 오후 11시 19분 최초 공격을 받고도 이를 일상적인 이상 트래픽으로 판단해 IP 차단 조치에 그쳤고, 이후 추가 공격이 발생했다. 신한은행 역시 지난달 28일 오후 6시 4분 시작된 공격을 약 15시간이 지난 29일 오전 9시 30분에야 인지했다.

이후에도 공격이 이어지면서 개인정보 2만5727건이 유출됐다. 특히 신한은행은 정보보호 상시평가에서 접속기록 관리와 이상행위 탐지, 접근권한 관리 등 관련 항목에 모두 만점을 받은 것으로 나타나 실제 보안 대응과 평가 결과 사이의 괴리도 지적됐다.

국민은행뿐 아니라 다른 금융회사에서도 피해 규모가 추가로 늘어날 가능성을 배제할 수 없다. 일부 금융회사는 여전히 침해 경로와 유출 범위 등을 조사하고 있기 때문이다. 여기에 기존에 사고가 알려지지 않았던 금융회사에서도 새로운 침해사고가 확인되고 있어 금융권 전체의 피해 규모가 더 커질 수 있다는 우려가 나온다.

해킹 사고는 계속해서 발생하고 있다. 미래에셋생명은 지난 25일 고객 청약시스템과 홈페이지 일부에서 이상 징후를 발견하고 침해사고 대응에 나섰다. 26일 새벽 개인정보 유출 사실을 확인했지만 정확한 피해 인원과 유출 정보 항목은 아직 파악되지 않았다. 금감원은 긴급 현장점검에 착수했다.

금융당국은 연쇄 해킹 사태 이후 전 금융권을 대상으로 긴급 보안점검을 실시했다. 그러나 점검 대상 금융회사 555곳 가운데 130곳(23.4%)이 보안관리 미흡 사항을 보고했다. 최신 보안패치 미적용과 24시간 보안관제체계 미구축, 외부 노출 시스템의 접근통제 미흡 등이 확인됐다. 금융회사 네 곳 중 한 곳꼴로 기본적인 보안 관리에 허점이 있었던 셈이다.

금융당국과 관계 조사기관은 개별 금융회사의 침해 경로와 피해 범위, 공격자 간 연관성 등을 조사하고 있다. 다만 조사가 진행 중인 만큼 구체적인 경위나 결과를 설명하기는 어렵다는 입장이다.

김승주 고려대 정보보호대학원 교수는 “새로운 사이버 위협이 나올 때마다 금융회사에 자체점검을 하라고 지시하고 보고서만 받는 방식으로는 한계가 있다”며 “여러 금융회사가 똑같은 보안제품을 쓰고 있다면 정부가 공통 취약점을 한꺼번에 점검하고, 금융회사는 각자 운영하는 시스템의 보안설정이나 패치 누락, 접근권한 관리 등에 집중해야 한다”고 했다.

한재희 기자
onej@chosunbiz.com