금융사 16곳 정보 유출과 보안관리 재점검

금융위원회는 10월 14일 정부서울청사에서 제2차 긴급 상황대응 회의를 열고 금융권 침해사고 현황과 대응 방안을 점검했습니다. 이번 발표에서는 DB저축은행·산은캐피탈·브라이트픽스·스트리미·프라뱅의 침해사고가 추가로 확인됐습니다. 스트리미는 가상자산 거래소 고팍스의 운영사이며, 이번 집계에는 가상자산사업자의 피해도 포함됐습니다.

침해사고가 확인된 곳은 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·DB·OK저축은행, 현대·산은캐피탈, 새마을금고중앙회입니다. 개인 간 대출을 중개하는 온라인투자연계금융업체 PFCT·모우다와 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅도 포함됐습니다. 은행 고객정보만의 문제가 아니라 여러 금융서비스 업권에서 발생한 사고로 범위가 확인됐습니다.

당국이 확인한 전체 유출 규모는 약 10만 건이며, 이름·연락처·주민등록번호·이메일 등이 포함됐습니다. 금융위는 계좌번호나 카드번호처럼 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다고 설명했습니다. 약 10만 건은 유출 정보의 규모를 나타내는 수치이며, 피해 고객 수를 뜻하는 집계로 발표된 것은 아닙니다.

사고 조사와 별도로 진행한 보안 점검에서는 기본 관리의 보완 필요성이 드러났습니다. 금융위가 10월 8일까지 금융회사 555곳에 12개 항목을 자체 점검하도록 한 결과, 425곳은 적정으로 제출했고 130곳은 미흡 사항을 보고했습니다. 이 숫자는 회사들이 제출한 보안관리 상태를 집계한 것으로, 130곳 모두에서 정보 유출이 발생했다는 뜻은 아닙니다.

주요 미흡 사항은 최신 보안패치 미적용, 제조사 기술지원이 끝난 시스템의 관리 부족, 24시간 보안관제 체계 미구축 등이었습니다. 보안관제는 시스템의 이상 징후와 공격을 감시하는 활동이며, 외부에서 접속하는 시스템의 인증과 접근 권한 관리도 보완 대상으로 보고됐습니다. 금융위는 대부분 보안패치나 관제 관련 점검항목 한두 건에서 보완이 필요했고, 전자금융업과 온라인투자연계금융업에서 미흡 사항이 많이 발견됐다고 밝혔습니다.

당국은 사고를 신고한 회사에 공격자 인터넷주소 차단, 보안패치 적용, 관련 서비스 중단 등 추가 침해를 막는 조치를 하도록 했습니다. 재발 방지를 위해 외부와 연결되는 전산시스템 접점을 목록으로 만들고 인증·접근 권한을 엄격히 관리하는 전수점검도 추진하기로 했습니다. 회사가 자체적으로 발견한 위협정보까지 금융보안원 통합관제시스템으로 공유하도록 개선하고, 보안관리 점검을 연 1회에서 연 2회 이상으로 확대하는 방안도 추진하고 있습니다.