금융권 16개사 침해사고 확인…개인정보 약 10만건 유출
555곳 자체점검 결과 23.4% 보안 취약사항 보고
금융위, 대형 금융사 보안점검 연 2회 확대 추진

▲ 금융위원회.[연합뉴스]

 

산은캐피탈과 가상자산거래소 고팍스 운영사 스트리미에서도 침해사고가 확인됐다. 금융권 전반으로 사고가 확산하는 가운데 금융회사 자체점검에서도 보안관리 미흡 사례가 대거 드러났다.

15일 금융위원회에 따르면 금융위는 전날 오후 신진창 사무처장 주재로 '제2차 긴급 상황대응 회의'를 열고 금융권 침해사고 조사 결과와 보안관리 강화 방안을 발표했다.

금융당국이 현재까지 침해사고를 확인한 금융회사는 총 16곳이다. 기존에 알려진 업체 외에 DB저축은행, 산은캐피탈(대표이사 양승원), 브라이트픽스, 스트리미(대표이사 김나영), 프라뱅 등 5곳이 추가로 확인됐다.

여신전문금융업에서는 현대캐피탈(대표이사 정형진)에 이어 산은캐피탈에서도 사고가 확인됐다. 가상자산업권에서는 스트리미와 프라뱅이 피해 명단에 포함됐다. 이 밖에 신한·KB국민·하나·BNK부산은행 등 은행권과 저축은행, 상호금융, 온라인투자연계금융업체에서도 침해사고가 발생했다.

현재까지 파악된 금융권의 개인정보 유출 규모는 약 10만건이다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 금융당국은 계좌 비밀번호나 카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다고 밝혔다.

사고 발생 회사는 추가로 늘어날 가능성이 있다. 금융당국은 공유된 공격자 인터넷주소(IP)를 바탕으로 추가 침해 여부를 확인하고 있다. 각 사고가 동일한 공격자에 의해 발생했는지, 인공지능(AI)이 공격에 활용됐는지도 조사 중이다.

금융회사들의 보안관리 실태에서도 문제점이 확인됐다.

금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 보안 체크리스트를 점검한 결과 130곳이 미흡사항을 보고했다. 전체의 23.4%다. 나머지 425곳은 자체점검 결과를 '적정'으로 제출했다.

주요 미흡사항은 최신 보안패치 미적용, 제조사 기술지원이 종료된 전산시스템 관리 소홀, 24시간 보안관제 체계 미구축 등이다. 외부 시스템에 대한 인증·인가 누락과 다중인증 미도입 사례도 확인됐다.

금융당국은 특히 전자금융업과 온라인투자연계금융업에서 상대적으로 많은 미흡사항이 보고됐다고 설명했다. 다만 업권별 해당 회사 수와 개별 회사의 구체적인 미흡사항은 공개하지 않았다.

금융위는 이번 점검 결과를 토대로 금융회사의 보안관리 기준을 강화하기로 했다. 대형 금융회사부터 취약점 점검·평가 주기를 현행 연 1회에서 연 2회 이상으로 확대하고, 필요하면 수시점검을 실시할 수 있도록 제도를 정비할 계획이다.

금융회사가 자체적으로 파악한 해킹 위협정보를 금융권 통합관제시스템에 공유하는 방안도 추진한다. 중소형 금융회사에 대해서는 금융보안원과 업권별 협회가 참여하는 AI 기반 공동 보안관제 체계 구축을 검토한다.

금융위는 최고경영자(CEO)와 최고정보보호책임자(CISO) 등의 보안관리 책임을 명확히 하고 제재의 실효성을 높이는 방안도 마련할 방침이다.

 

토요경제 / 김정연 기자 kjy@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]