새마을금고·OK저축은행까지…끊이지 않는 해킹 사고

[미디어펜=이보라 기자] 새마을금고와 OK저축은행에서도 해킹 공격으로 인한 고객 정보 유출 사고가 발생했다. 금융당국이 전 금융권을 대상으로 보안점검을 진행한 가운데 추가 사고가 확인되면서 금융회사들의 보안 관리 체계에 대한 우려가 커지고 있다.

기존 금융사 해킹 사고와의 연관성에도 관심이 쏠리는 가운데 금융당국은 금융보안원 등 관계기관과 사고 경위를 조사하고 보안점검 결과를 토대로 후속 대응 방안을 논의할 예정이다.

14일 금융권에 따르면 새마을금고중앙회와 OK저축은행은 전날 해킹에 따른 개인정보 유출 사고를 금융당국에 신고했다.

새마을금고에서는 지난 10일 공제보험 고객들이 이용하는 웹페이지의 취약점을 통해 해킹 공격이 발생했다. 이번 사고로 고객 400여명의 개인정보가 유출됐다. 유출 정보에는 개인별로 차이가 있지만 고객번호와 이름, 암호화된 주민번호, 계좌번호, 생년월일, 휴대폰번호, 집전화번호, 회사전화번호, 집주소, 회사주소, 이메일주소, 잔액 등이 포함됐다.

이번 해킹 공격은 최근 금융권에서 잇따라 발생한 해킹 사고와는 다른 IP에서 이뤄진 것으로 파악됐다.

OK저축은행에서도 대표 홈페이지의 대출 신청 웹페이지를 통해 고객정보가 유출된 것으로 확인됐다. 현재까지 파악된 피해 규모는 고객 183명이다. 회사는 구체적인 유출 경위와 피해 범위를 확인하고 있다.

앞서 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서도 해킹으로 고객정보가 유출됐다. 금융권에서 은행과 저축은행, 캐피털사에 이어 상호금융까지 피해가 이어지면서 금융회사 전반의 개인정보 보호 체계를 점검해야 한다는 지적이 나온다.

금융당국은 지난달 말 신한은행의 개인정보 유출 사고 이후 금융권 전반으로 해킹 피해가 확산하자 전 금융회사에 긴급 보안점검을 요구하고 점검 결과를 보고하도록 했다.

점검 항목에는 공격자 IP 차단 여부와 침해 시도 및 피해 확인, 외부에 노출된 정보기술(IT) 자산과 서비스의 취약점, 인증 절차, 실시간 보안관제 및 탐지 체계 등이다. 금융당국은 총 12개 항목을 중심으로 금융회사별 보안 조치 현황을 확인하고 있다.

그러나 보안점검이 진행되는 동안에도 새마을금고와 OK저축은행의 추가 사고가 확인되면서 점검의 실효성에 대한 의문도 커지고 있다. 점검을 실시했는지뿐 아니라 실제 취약점을 찾아 개선했는지, 공격자의 우회 접근을 탐지하고 차단할 수 있는 체계가 작동했는지가 중요하다는 지적이다.

최근 사고에서는 고객이 직접 이용하는 핵심 금융 시스템뿐 아니라 대출 신청·조회 웹페이지와 업무지원 시스템 등 부가 서비스가 주요 공격 경로가 됐다. 금융회사가 주요 전산망을 관리하는 데 그치지 않고 외부에 노출된 웹서비스와 위탁업체 관련 시스템까지 보안 관리 범위를 넓혀야 한다는 목소리가 나오는 이유다.

또 공격자의 접속 경로를 차단하는 조치만으로는 IP를 바꿔가며 이어지는 공격에 대응하는 데 한계가 있을 수 있다는 분석이 나온다. 최근 금융권 연쇄 해킹에서는 공격자가 IP를 바꿔가며 여러 금융회사를 공격한 정황이 포착됐다.

피해 고객에 대한 배상 문제도 쟁점으로 떠오르고 있다. 해킹 사고 직후 금융사들은 이번 사고로 피해가 발생할 경우 전액 보상하겠다고 밝혔다. 다만 손해배상을 위해서는 피해자가 구체적인 손해 규모와 유출사고 간 인과관계를 입증해야하는 등 현실적으로 어려운 점이 많다.

피해 배상을 받는다고 하더라도 소송 이후 판결이 나올 때까지 적지 않은 시간이 소요되고, 그 액수 역시 크지 않을 가능성이 높다.

일례로 2014년 카드사 개인정보 대량유출 사건이나 2016년 인터파크 사태 당시 법원은 1인당 10만~20만원씩 배상할 것을 판결한 바 있다. 과거 사례에 비춰볼 때 이번 사태의 청구액도 10만~20만원 수준으로 책정될 전망이다.