▲ BNK부산은행.[토요경제DB]

BNK부산은행이 외부 웹서버 공격으로 외주 개발직원 11명의 개인정보가 노출된 뒤 실시한 자체점검에서 대외시스템의 인증·인가와 접근통제가 미흡했던 것으로 확인됐다. 은행은 로그인 없이 접근할 수 있는 외부 웹페이지를 다시 점검하고 24시간 보안관제 체계 강화에 나선다.

7일 국회 정무위원회 손명수 의원실이 BNK부산은행에서 제출받은 ‘침해사고 대비 금융권 IT 보안 자체점검 체크리스트 점검 결과’에 따르면 부산은행은 금융감독원이 제시한 12개 점검항목 가운데 1개를 ‘미흡’으로 자체 평가했다.

해당 항목은 ‘대외시스템 대상 인증·인가 검증 기능 누락 여부 및 접근제어 취약점 확인·검증’이다.

부산은행은 외부 노출 시스템을 구글 위협정보(Google Threat Intelligence)의 공격표면관리 기능으로 매일 모니터링하고 있지만, 해당 도구만으로는 별도 로그인 없이 일반 이용자가 접근할 수 있는 페이지인지까지 판단하기 어렵다고 설명했다.

이에 따라 로그인 없이 접근 가능한 외부 웹페이지를 전면 재조사해 이달 안에 차단하고 보안 코딩 등 후속 조치를 진행할 계획이다. 보안취약점을 자동 점검하는 인공지능(AI) 에이전트도 개발해 12월 적용할 예정이다. 현재 외부 전문업체와 금융보안원의 상시 관제를 이용하고 있지만 상주인력이 24시간 모든 보안장비를 실시간 관제하는 방식은 아니어서 24시간 365일 상주 관제 도입도 검토한다.

앞서 부산은행은 지난 1일 오후 9시께 AI 에이전트를 활용한 외부 웹서버 공격 시도를 받았다. 주요 공격은 차단했지만 후속 점검에서 세션 검증이 충분하지 않았던 일부 웹페이지를 통해 외주 개발직원 11명의 개인정보가 노출된 정황을 확인했다. 노출 정보에는 성명과 전화번호, 생년월일, 이메일 주소가 포함됐다. 은행은 해당 페이지를 즉시 차단했다.

부산은행은 현재까지 고객정보 유출은 확인되지 않았다고 밝혔다.

이번 자체점검에서 확인된 접근통제 미흡 항목이 개인정보 노출 사고의 직접 원인이었는지는 아직 확인되지 않았다. 다만 사고 과정에서도 일부 웹페이지의 세션 검증이 충분하지 않았던 사실이 확인된 만큼 외부에 노출된 업무시스템의 인증과 접근통제 관리가 후속 점검의 핵심이 될 전망이다.

최근 금융권 공격이 고객용 인터넷·모바일뱅킹보다 임직원과 외부업체 등이 사용하는 대외 시스템까지 노리면서 금융당국도 외부 노출 IT자산에 대한 점검을 강화하고 있다. 은행·카드사 40곳은 지난 6일까지 긴급 보안점검 결과를 금융당국에 제출했다.

BNK부산은행의 후속 과제는 자체점검에서 확인된 접근통제 취약점을 실제 차단하고 외부 시스템에 대한 상시 탐지 체계를 보완하는 데 있다.

토요경제 / 김연수 기자 kys@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]