4년전 유출 경고에도 방치…금융보안원, 금융사 48곳 털렸다｜동아일보

금융사 정보보안을 관리하는 금융보안원이 해킹 공격을 받아 금융사 48곳 개인정보 약 650건이 유출됐다. 공격받은 시스템은 4년 전 감사에서 이미 정보 유출 가능성을 지적받았던 만큼 금융 보안 전담 기관으로서 대응이 허술했다는 비판이 나온다.

11일 보안원에 따르면 9일 금융회사 보안 평가를 지원하는 상시평가 시스템이 해커에게 공격받아 금융사 48곳이 보안원에 제출한 파일 130여개가 유출됐다. 유출 파일에는 개인신용정보 동의서 샘플 등 행정서식 약 200건과 행정서식에 포함된 이름, 생년월일 등 개인정보 300여 건, 시스템 이용자 정보 350여 건이 포함됐다. 보안원은 10일 피해 사실을 금융사에 전달했다.

상시평가 시스템은 금융사 등 3000여개 기관이 개인신용정보 보호 실태를 점검한 결과를 올리면 금융보안원이 평가하고 금융감독원이 확인하는 플랫폼이다. 금융위원회는 앞서 2022년 ‘금융혁신지원 인프라구축 및 관리 실태 특정감사’에서 상시평가 시스템을 통한 정보 유출 가능성을 제기했다. 금융위는 금융회사 담당자가 개인 PC로 상시평가 시스템에 접속할 수 있다는 점을 언급하며 “상시평가 시스템에 있는 증빙자료는 금융사 중요정보 등을 포함할 수 있다. 외부에 노출된 단말기에서 열람할 경우 중요정보가 유출될 가능성이 있다”고 지적했다. 보안원이 감사에서 해킹 위험을 지적받고서도 관리에 소홀했다는 비판이 나온다. 

보안원은 사고 직후 시스템에 ‘서비스 개편’ 때문이라며 점검 공지만 띄웠다가 10일 밤늦게 사고 사실을 공식 발표했다. 보안원은 “금융보안 전문기관으로서 높은 수준의 보안과 신뢰를 유지해야 함에도 금융사와 국민께 심려를 끼쳐드려 진심으로 사과드린다”고 말했다.

크게보기

금융위원회는 11일 금융보안원 현장 조사에 착수했다. 금융당국은 추가로 정보가 유출됐을 가능성과 사고 원인을 조사하고 있다. 특히 9월부터 연쇄적으로 발생 중인 금융권 해킹 사태와 연관성이 있는지 살펴볼 예정이다. 금융보안원은 경찰에도 수사를 의뢰했다.

● 금융위 감사에서 외부망 반복 지적

보안원의 ‘약한 고리’는 감사에서 반복적이고 구체적으로 지적됐다. 금융위는 2022년 특정감사에서 상시 평가 시스템과 함께 ‘레그테크 홈페이지’ 보안도 문제 삼았다. 레드테크 홈페이지는 금융사들이 해킹 대응 훈련 결과 보고서 등을 제출하는 곳이다. 금융위는 이곳에 금융사 정보보호 체계와 관련한 중요 자료가 쌓여 있는데도 금융사 담당자들이 집에 있는 PC 등 외부 인터넷망으로 자료를 열어볼 수 있다며 접근을 통제할 수 있도록 보완하라고 요구했다. 당시 감사에서는 보안원 홈페이지 18곳의 프로그램을 담당 직원이나 외부 유지보수 인력이 윗선 승인 없이 수시로 고칠 수 있다는 점도 지적됐다.지난해 6월 종합감사에서 레그테크 홈페이지는 다시 지적받았다. 보안원은 매년 홈페이지 취약점을 점검했지만, 레그테크에서 특정 금융사가 다른 금융사 보고서를 들여다볼 수 있는 허점이 발견됐다. 금융위는 이를 고치고 보안원이 운영하는 다른 웹사이트에도 비슷한 문제가 없는지 점검하라고 요구했다. 보안원이 금융사에 퇴직하거나 부서를 옮긴 직원 계정을 정리하도록 제때 알리지 않아 접근 권한 관리가 허술해질 수 있다는 문제 제기도 나왔다.

금융보안 컨트롤타워가 없다는 목소리도 높다. 보안원은 금융권 정보보호 및 개인정보 보호 관리체계 인증 심사를 맡고 있지만 민간기관이다. 금융위 감사는 받지만 금감원 검사 대상은 아니다. 권헌영 고려대 정보보호대학원 교수는 “금융회사들이 출자해 만든 보안원이 금융당국의 권한을 위임받아 행사하는 구조”라며 “상황이 이렇다 보니 보안원이 컨트롤타워 역할을 할 수는 없고, 책임은 금융위와 금감원이 져야 한다”라고 지적했다.

● “단순 서식 파일 유출” vs “중요정보 포함 가능성”

이번에 유출된 정보가 얼마나 중요한지에 대해선 의견이 엇갈린다. 보안원은 상시평가 시스템이 취약점 분석평가 결과 등 보안 사항은 수집하지 않고, 유출 자료도 광고성 이벤트 정보 전송 내역과 동의서 등 행정서식이 대부분이라고 설명했다.

반면 금융사가 상시평가 과정에서 내는 증빙자료에는 민감한 정보도 포함된다는 주장도 있다. 익명을 요청한 금융권 보안 담당자는 “상시평가 시스템에는 서버 목록이나 내부망 구조 등 대외비에 해당하는 정보도 포함된다”고 말했다. 현재 정보 유출 피해 규모는 보안원 자체 조사 결과로만 확인됐다.

이번 해킹으로 금융사 보안 담당 직원들의 개인정보가 빠져나갔다는 점은 향후 2차 공격 우려를 낳고 있다. 개인정보 중 이름과 휴대전화번호는 마스킹(가림) 처리돼 있었지만, e메일 주소는 그대로 유출됐다.

● 가짜 금감원 직원 계정 만들어 접속

전문가들은 보안원 해킹 공격이 기존 금융권에 대한 공격과 유사한 점이 많다고 지적한다. 우선 핵심망이 아닌 외곽 시스템을 노렸다는 점이다. 앞서 은행들을 공격할 때도 외부로 연결되는 사이트 등 취약한 시스템을 노렸는데, 보안원도 상대적으로 취약한 상시평가 시스템을 노렸다.

해커가 악성코드를 심어 시스템에 몰래 들어가는 방식이 아니라 정상 이용자인 척 로그인해 자료를 빼낸 수법도 닮았다. 공격자는 금감원 계정으로 모든 금융사 자료를 볼 수 있다는 점을 노리고 가짜 금감원 직원 계정을 만들어 시스템에 접속했다. 특히 이 과정에서 수백 개 인터넷주소(IP)를 활용해 한 곳에서 대량으로 정보를 빼내는 것처럼 보이지 않게 숨겼다. 보안원도 9일 오후 1~2시경 집중 공격이 이뤄진 뒤 시스템 접속 차단에 나섰다.

다만 공격 주체가 상시평가 시스템 구조를 알고 있다는 점에서 표적 공격 가능성이 제기된다. 금융권 해킹은 무작위로 약한 고리를 찾았다면 이번 공격은 특정 기관 시스템을 알고서 접근한 모양새다.

장항배 중앙대 산업보안학과 교수는 “유출된 정보 자체가 치명적이진 않겠지만 보안을 지원하는 기관이 해킹당했다는 사실이 문제”라며 “그간 해커에게 ‘가성비’가 떨어져 공격이 들어오지 않을 것이라고 여겼던 서비스까지 빨리 보완 체계를 갖춰야 한다”고 지적했다.