증권가 덮친 해킹 공포…비핵심 시스템이 보안 사각지대로

[한국금융신문 김희일 기자] 금융투자업계를 겨냥한 해킹 사고가 잇따르면서 증권사와 자산운용사, 가상자산 거래소의 정보보호 체계가 시험대에 올랐다. 고객 개인정보 유출부터 사내 업무시스템 침해까지 사고 유형도 다양해지는 양상이다. 핵심 거래시스템뿐 아니라 외부 연계서버와 내부 업무망까지 보안 관리 범위를 확대해야 한다는 지적이 나온다.

28일 금융투자업계에 따르면 대신증권은 외부 해킹 공격으로 고객 3만8490명의 개인(신용)정보가 유출된 사실을 확인했다. 미래에셋자산운용에서도 외부 해킹에 따른 비정상적인 서버 접근이 확인돼 구체적인 침해 경위와 피해 범위를 파악하고 있다. 가상자산 거래소 빗썸에서도 사내 모바일 그룹웨어 시스템에 대한 비인가 접근으로 개인정보 유출 사고가 발생했다.

대신증권의 사고는 지난 17일 투자일임 비대면 증권계좌 개설 연계서버에서 비정상적인 접근 징후가 포착되면서 드러났다. 회사는 공격에 사용된 인터넷 프로토콜(IP)과 우회접속 IP를 차단하고 금융보안원과 함께 침해 범위를 조사했다. 이후 조사 과정에서 고객 3만8490명의 정보가 유출된 사실을 확인했다.
유출 항목은 고객명과 이메일, 주소, 통신ID, 은행명, 입출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개다. 이 가운데 입출금 계좌번호와 종합계좌번호, 휴대전화번호는 암호화된 상태인 것으로 파악됐다. 대신증권은 현재까지 2차 피해 정황이나 핵심 업무시스템에 대한 불법 접근은 확인되지 않았다고 밝혔다.

미래에셋자산운용에서도 서버에 대한 비정상적인 접근이 확인됐다. 회사는 구체적인 피해 규모와 발생 시점을 파악하고 있으며, 감독기관 보고 자료 등에 접근한 정황이 있는 것으로 보고 있다. 회사 측은 현재까지 민감한 개인식별정보 유출이나 금전적 피해는 없는 상황이라고 설명했다.

빗썸은 전날 사내 모바일 그룹웨어 시스템에서 외부 비인가자의 비정상적인 접근으로 개인정보가 유출된 사실을 인지했다. 회원 정보가 유출 대상에 포함됐을 가능성을 배제하지 않고 정확한 피해 범위를 분석하고 있다.

이번 사고에서 눈여겨볼 대목은 공격 대상이 고객 거래를 직접 처리하는 핵심 시스템에만 한정되지 않았다는 점이다. 대신증권은 비대면 계좌 개설 연계서버에서 이상 접근이 발생했고, 빗썸은 임직원이 사용하는 사내 모바일 그룹웨어 시스템에서 침해 사고가 확인됐다. 금융서비스와 연결된 외부 시스템은 물론 내부 업무 환경까지 보안 관리 범위에 포함해야 한다는 과제를 드러낸 것이다.

금융회사의 보안은 거래시스템의 안정성만으로 완성되지 않는다. 계좌 개설과 고객정보 처리, 외부 업체와의 시스템 연계, 임직원의 업무용 서비스 등 여러 접점이 연결돼 있기 때문이다. 이 가운데 한 곳이라도 취약하면 고객정보 유출이나 추가 침해로 이어질 수 있다.
개인정보 유출은 사고가 발생한 시스템을 복구하는 것만으로 마무리하기 어렵다. 유출된 정보가 피싱이나 금융회사 사칭 등 2차 범죄에 악용될 가능성에 대비해야 하기 때문이다. 금융회사는 유출 범위를 신속하게 확인하는 동시에 고객 통지와 피해 예방 안내, 추가 침해 여부 점검을 병행해야 한다.

다만 현재까지 세 회사의 사고가 서로 연관돼 있는지, 동일한 공격 주체가 배후에 있는지는 확인되지 않았다. 개별 사고를 하나의 해킹 사건으로 단정하기보다는 각 회사의 침해 경로와 피해 범위, 보안 대응 수준을 구분해 살펴볼 필요가 있다.

거래망 방어 넘어 전사적 보안으로…내부통제 실효성 관건

금융당국도 보안 관리의 범위를 금융회사 전체로 확대해야 한다는 점을 강조하고 있다.

이찬진닫기이찬진기사 모아보기 금융감독원장은 이날 서울 여의도 금감원 본원에서 열린 8대 은행지주 이사회 의장 조찬 간담회에서 최근 금융권의 해킹 사고와 관련해 사이버 보안 강화를 주문했다.

이 원장은 금융회사 침해사고와 관련해 사이버 공격 방식이 고도화되고 공격 대상이 비핵심시설로 확대되는 등 전방위적인 양상을 보이고 있다고 진단했다. 인공지능(AI)이 해킹 수단으로 활용되면서 보안 취약점 탐지와 동시다발적인 공격이 더욱 빈번해질 가능성도 경계했다.

금융회사 스스로 정보기술(IT) 자산을 철저하게 관리하고 보안 취약점을 능동적으로 찾아내 제거하는 자율 방어체계를 구축해야 한다는 주문이다. 보안 투자를 단순한 비용이 아닌 고객의 재산과 정보를 보호하고 금융 신뢰를 유지하기 위한 핵심 업무로 인식해야 한다는 취지도 강조했다.

관건은 보안 규정의 존재 여부가 아니라 현장에서 실제로 작동하는지다. 외부 접속 통제와 접근 권한 관리, 이상 징후 탐지, 취약점 점검, 사고 발생 시 대응 체계가 유기적으로 작동하는지 점검해야 한다. 비핵심 시스템과 외부 연계 영역까지 보안 관리 범위에 포함하고, 이사회가 관련 투자와 대응 현황을 지속적으로 살펴보는 체계도 필요하다.

금융투자업계의 신뢰는 고객 자산을 안전하게 거래하고 보관하는 것뿐 아니라 고객정보를 안전하게 관리하는 데서도 나온다. 잇따른 침해 사고를 계기로 금융회사들의 보안 투자가 실제 방어 역량 강화로 이어지는지, 내부통제가 보안 사각지대를 줄이는 수준으로 작동하는지가 주요 과제로 떠올랐다.

김희일 한국금융신문 기자 heuyil@fntimes.com