정보보호 컨퍼런스 앞두고 해킹···금융보안원, 어떤 정보 털렸나 [금융권 보안점검]

[한국금융신문 김성훈 기자] 금융보안원이 오는 12일 금융정보보호 컨퍼런스 ‘FISCON 2026’을 사흘 앞두고 해킹으로 정보가 유출된 사실을 확인했다.

AI로 고도화되는 사이버 위협과 대응 전략을 논의하는 컨퍼런스를 주최하는 기관이 해킹 피해를 당한 것이다.

금융회사들이 정보보호 상시평가를 위해 제출한 행정서식과 서식에 적힌 이름·생년월일, 시스템 이용자의 이메일 등 일부 정보가 외부로 빠져나갔다.
보안원은 금융회사 시스템 구성도와 고객 개인신용정보 등 민감정보는 유출 자료에 포함되지 않았다고 밝혔다.

그러나 서로 다른 자료에 담긴 개인정보가 결합되면 특정인을 식별하거나 금융사 업무를 사칭하는 데 악용될 가능성이 있다.

보안원 측은 추가 유출 여부를 조사 중이며, 현재까지 공개한 항목별 건수만으로는 한 사람의 정보가 어디까지 노출됐는지 파악하기 어려운 상황이다.

행정서식 약 200건 유출···이름·생년월일도 빠져나가

11일 금융권에 따르면 금융보안원은 지난 9일 오후 3시께 외부의 비정상적인 접근으로 상시평가 지원시스템에서 정보가 유출된 사실을 확인, 즉시 해당 시스템의 접속을 차단하고 금융위원회와 한국인터넷진흥원에 신고했다.

상시평가 지원시스템은 금융회사가 정보보호 상시평가에 필요한 행정서식 등을 제출하는 데 쓰인다.
정보보호 상시평가는 금융회사의 개인신용정보 활용·보유·삭제 등 보호 실태를 점검하는 제도로, 금융보안원은 올해 약 3000개 금융회사를 대상으로 상시평가를 실시하고 있다.

금융보안원 측은 이번에 해킹된 지원시스템에 대해 "일반 고객의 금융거래를 처리하지 않으며 취약점 분석·평가 결과도 수집하지 않는다"고 설명했다.

현재까지 확인된 유출 자료는 개인신용정보 동의서 샘플 등 행정서식 약 200건, 행정서식에 포함된 이름·생년월일 등 개인정보 300여 건, 시스템 이용자 정보 350여 건, 이메일 정보 등이다.

보안원 관계자는 "광고성 이벤트 정보 전송 내역과 동의서 등 행정서식이 유출 자료의 대부분"이라며 "금융회사 시스템 구성도와 주민등록번호, 고객 개인신용정보 등 민감정보는 포함되지 않았다"고 밝혔다.

정밀 조사 미완···개인별 노출 범위 확인해야

문제는 주민등록번호가 없어도 이름과 생년월일에 이메일 주소나 휴대전화번호 등 연락처 정보가 결합되면 개인을 특정할 수 있다는 점이다.

금융보안원은 이용자 정보에 포함된 휴대전화번호가 마스킹됐다고 밝혔지만, 이메일 주소가 어떤 형태로 노출됐는지, 서로 다른 자료에서 동일인의 정보가 얼마나 겹치는지는 공개하지 않았다.

가령 서식에 적힌 이름·생년월일과 시스템 이용자 이메일이 같은 사람의 정보로 연결된다면, 그 사람을 겨냥해 상시평가 자료 보완이나 유출 피해 확인을 요청하는 것처럼 꾸민 피싱에 악용될 수 있다.

아직 해킹 관련 정밀 조사가 진행 중이므로, 추가 유출 여부와 함께 개인별로 어떤 항목이 노출됐는지를 확인해야 2차 피해 가능성도 구체적으로 판단할 수 있다.

보안원 측은 관련 금융회사에 유출 사실을 개별 안내했으며, 유출 정보에 포함된 이용자 등 정보주체에게도 유출 사실과 2차 피해 예방에 필요한 사항을 전달할 예정이다. 2차 피해가 발생할 경우 배상하겠다는 방침도 밝혔다.

금융당국 관계자는 “금융권 보안을 관제하고 지원하는 기관이 해킹을 당한 것은 신뢰성 측면에서 엄중한 문제"라며 "전체 시스템의 철저한 점검과 재발 방지책을 요구했다”고 전했다.

금융권 외부접점 전수점검 발표 나흘 뒤 사고

이번 사고는 금융위가 금융권 보안체계 전수점검 계획을 발표한 지 나흘 만에 확인됐다. 금융위는 지난 5일 금융보안원 여의도 분원에서 열린 간담회에서 금융회사와 전자금융업자, 가상자산사업자 등 약 580개사의 외부접점과 내부통제 체계를 점검하겠다고 밝혔다.

전수점검에는 고객이 이용하는 홈페이지뿐 아니라 외부에서 접속할 수 있는 직원관리·내부업무·제휴업무 시스템도 포함된다. 금융회사가 먼저 자체 점검을 실시하고, 점검이 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 직접 현장점검에 나서는 방식이다.

이처럼 금융사의 외부접점을 점검하는 보안원에서 외부 접근을 통한 정보 유출이 확인되면서, 보안원 자체 시스템의 점검 범위도 쟁점이 됐다.

보안원 측은 사고 원인을 규명하고 정보보호 관리체계 전반을 재점검하겠다고 전했다. 그러나 구체적인 점검 기준과 결과 검증 방식 등은 공개되지 않았다.

김성훈 한국금융신문 기자 voicer@fntimes.com