은행·보험 이어 가상자산·증권도 '해킹 공포'⋯반복되는 '외부 접속' 보안 허점

[아이뉴스24 성진우 기자] 해킹을 도구로 한 정보유출 사태가 은행·보험업권을 넘어 가상자산·증권 등 금융업 전반으로 확산되고 있다. 내부 서버와 연결된 외부 업무·지원 시스템 허점을 노려 공격한다는 점에서 방식도 유사하다. 해킹에 활용되는 인공지능(AI) 기술 고도화로 보다 더 근본적인 보안 대책과 시스템 마련이 필요하다는 목소리가 나온다.

28일 금융투자업계에 따르면 대신증권에서 지난 17일 해킹 공격으로 인해 총 3만8490여명의 고객 개인정보가 유출됐다. 고객명을 비롯해 입출금 계좌번호·대신증권 종합계좌 번호 등 개인정보가 유출 대상에 포함됐다.

최근 금융업 정보유출 사고가 연달아 발생한 가운데 증권업권에서는 최초 사례다. 이달 초 신한은행에서 해킹으로 고객 2만5000여명의 정보가 유출되는 사고가 터진 바 있다. 예가람저축은행도 5만여건의 대규모 정보 유출 사고가 확인됐다. KB국민은행, 하나은행, 부산은행 등 다른 은행에서도 일부 고객정보가 유출됐다.

이날 대신증권 외에 미래에셋자산운용과 빗썸에서도 해킹 공격이 파악됐다. 회사 측은 고객 정보유출로 이어지지는 않았다고 밝혔지만 해킹이 운용사와 가상자산 거래소에서도 처음으로 확인됐다. 전날에는 보험업권에서 처음으로 미래에셋생명의 개인정보 유출 사고가 있었다.

금융권 잇단 해킹, 왜 못 막나⋯땜질식 대응 비판

최근 금융권 해킹 사태는 내부망이 아닌 외부 연계 서버를 노렸다는 점에서 공통점을 보인다. AI를 활용해 내부에 있는 본 서버와 연계된 수많은 외부 서버 중 취약한 부분을 빠르게 파악하고 침투해 개인정보를 빼내는 방식이다.

대신증권은 투자일임 비대면 증권계좌 개설 연계 서버에서 해커의 불법 접근이 확인됐다. 앞서 신한은행 해킹도 외부 비인가자가 대출모집인 전용 간편 조회 서비스에 비정상적으로 접근한 방식이었다. 국민은행은 직원용 모바일 업무지원 시스템에서 해킹 공격이 감지됐다.

이날 오전 이찬진 금융감독원장은 서울 여의도 본원에서 8대 금융지주 이사회 의장들과 조찬 간담회를 열고 "국내 금융회사 침해사고는 사이버 공격의 방식이 나날이 고도화되는 가운데 공격 대상이 비핵심시설로 확대되는 등 전방위적 양상을 보인다"고 말했다.

금융당국과 금융사 모두 정보 보호에 허술했다는 비판을 피하기 어렵다는 지적이다. 당국은 이달 초 은행 정보유출 사태가 불거진 뒤 전 금융권에 긴급 점검과 보안 강화 조치를 주문한 바 있다. 그럼에도 한 달도 채 되지 않아 정보유출 사고가 연달아 터지면서 실제 접근 통제와 이상징후 탐지에 구멍이 뚫린 것 아니냐는 비판이 나온다.

전문가들은 사고가 터질 때마다 취약점 점검에만 치중하는 방식으로는 점차 발전하는 AI 활용 공격에 지속적으로 노출될 수밖에 없다고 지적한다. 일회성 대책이 아니라 근본적인 보안 점검 시스템 마련이 필요하다는 의미다.

김환국 국민대 정보보안공학과 교수는 "가령 PHP가 취약하다고 해서 금융사가 자사 웹 PHP 서버를 얼마나 가졌는지 확인하고 보안 패치하는 건 일회성 보완책"이라며 "주기적인 위험 관리는 보안 취약점을 수시로 파악하고 보완하는 '시스템'을 갖춘추는 것이 핵심"이라고 말했다.

이어 "금융사처럼 많은 정보와 서비스를 다루는 곳은 내부와 수많은 외부 네트워크가 연결되어 있기 때문에 언제든 허점이 발생할 수 있다"며 "시스템은 탐지·보완에서 더 나아가 위협 발생 시 대응 방안까지 포함해야 한다"고 덧붙였다.

금융권 안일한 '보안 투자'…인력·예산 모두 '구멍'

일각에서는 금융권 대규모 해킹은 예견된 사태였다는 시각도 있다. 수많은 고객 정보를 보유하고 자산 관련 업무를 맡으면서도 평소 보안 정책과 인력에 충분한 비용을 투자하지 않았다는 이유에서다.

강민국 국민의힘 위원이 지난 22일 금감원에서 제출받은 자료에 따르면 6월 말 기준 7개 금융업권의 정보기술(IT) 인력 2만7508명 중 정보보호 인력은 2654명으로 약 9.6%에 불과했다. 업권별로는 증권(9.5%), 은행(8.8%), 생명보험(8.4%) 등 최근 사고가 난 업권이 금융업 평균보다 낮았다.

정보보호 예산 편성액도 부족했다. 전체 IT 예산 14조2396억원 중 정보보호 예산은 11.7% 수준인 1조6726억원에 그친 것으로 확인된다. 예산 부문에서도 은행(11.3%), 생명보험(11.1%), 증권(10.9%)은 업권 평균을 밑돌았다.

박춘식 전 국가보안기술연구소장은 "회사가 보완 관련 투자를 일단 비용으로만 보는 인식이 자리 잡고 있다"며 "투자가 제대로 이뤄지지 않으니 사내 보안 전문가나 매뉴얼이 부족하고 같은 사고가 반복된다"고 짚었다.