대신증권·미래에셋운용·빗썸 잇단 해킹…금융권 침해사고, 금투업권까지 번졌다

대신증권과 미래에셋자산운용, 가상자산거래소 빗썸에서 해킹 침해사고가 잇따라 확인됐다. 26일 미래에셋생명에 이어 이번에 증권·자산운용업권까지 사고가 나면서 금융권 전반의 보안 관리 체계에 비상이 걸렸다.

28일 금융당국과 업계에 따르면 금융감독원은 빗썸과 미래에셋자산운용, 대신증권의 해킹 침해 사실을 추가로 인지하고 현황을 파악하고 있다. 금감원은 이날 대신증권에 현장 점검반을 보냈다.

대신증권은 이날 보도자료를 내고 고객 3만8490명의 정보가 유출됐다고 밝혔다. 유출 항목은 고객명, 이메일, 주소, 통신ID, 은행명, 입출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개다. 이 가운데 계좌번호 2종과 휴대전화번호는 암호화된 상태였다.

사고는 지난 17일 투자일임 비대면 증권계좌 개설과 연계된 서버에서 해커의 비정상적인 접근 징후가 포착되면서 드러났다. 대신증권은 공격에 쓰인 IP와 우회접속 IP를 차단하고 규제당국에 신고했다.

이후 금융보안원과 함께 정상 서비스로 가장한 신호 6만여 건을 전수조사했고, 26일 기준으로 유출 규모를 확정했다. 회사 측은 현재까지 2차 피해 정황이나 핵심 업무시스템에 대한 불법 접근은 발견되지 않았다고 설명했다.

대신증권은 유출 대상 고객에게 개별 안내를 하고, 손해가 발생한 고객에게는 법령에 따라 배상할 계획이다. 해당 서버의 접근통제와 외부연계 시스템 보안 점검도 강화한다.

진승욱 대신증권 대표이사는 “이번 유출을 엄중하게 받아들이고 있으며 고객 여러분께 깊이 사과드린다"며 “고객보호와 재발방지에 필요한 조치를 책임 있게 이행하겠다"고 밝혔다.

빗썸은 27일 사내 모바일 그룹웨어 시스템에서 외부 비인가자의 비정상적인 접근을 탐지했다. 이 사고로 임직원 600여명의 개인정보가 유출됐다. 빗썸은 외부 접근을 차단한 뒤 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다. 현재는 사내 메신저 대화에 고객 개인정보가 담겼는지, 그 정보까지 빠져나갔는지를 조사하고 있다.

빗썸 관계자는 “정확한 유출 범위와 항목에 대한 분석을 신속히 진행하고 있다"며 “홈페이지 등을 통해 고객들에게 관련 내용을 공식 안내할 예정"이라고 말했다.

미래에셋자산운용은 일부 웹 시스템에서 외부 IP의 비정상적인 접근 정황을 확인했다. 회사는 접근 경로를 차단하고 비상대응체계를 가동했다. 회사 측에 따르면 현재까지 파악된 유출 범위는 일부 업무용 시스템을 이용하는 정보다. 고유식별정보와 민감정보, 개인신용정보는 유출되지 않았다고 회사는 밝혔다. 개인 고객 대상 서비스가 아니어서 투자자 정보도 해당하지 않는다는 설명이다. 미래에셋자산운용 관계자는 “관련 내용을 파악 중"이라고 말했다.

금융당국이 14일까지 파악한 침해사고 발생 금융회사는 16곳이었고, 개인정보 유출 규모는 약 10만건에 달했다. 당시만 해도 금융투자업계와 보험업계에서는 신고가 없었다.

▲금융감독원.

이찬진 금감원장은 이날 서울 여의도 본원에서 열린 은행지주 이사회 의장 조찬 간담회에서 “어제 주요 금융투자사 쪽에서 전반적인 해킹 사고가 발생한 것으로 안다"고 말했다. 이어 “인공지능(AI)이 해킹수단으로 활용되면서 보안 취약점이 쉽게 탐지되고 동시다발적 공격이 상시화될 것"이라고 경고했다.

이 원장은 “금융회사 스스로 IT 자산을 철저히 관리하고 보안 취약점을 찾아내는 자율 방어 체계를 구축해야 한다"며 “보안 투자를 단순한 비용으로 여기는 관행에서 벗어나야 한다"고 했다. 또 “IT 보안은 고객의 재산과 정보를 보호하고 금융신뢰를 위한 핵심 업무라는 인식 하에 이사회가 IT보안 역량 제고를 위해 앞장서 달라"고 강조했다.

정부도 점검에 나섰다. 과학기술정보통신부는 민간 주요정보통신기반시설을 관리하는 111개 기관, 약 172개 시설의 취약점을 점검한다. 통신 3사의 유무선 서비스와 인터넷데이터센터(IDC) 시스템도 대상이다. 점검은 외부 인터넷에 노출된 서버와 웹페이지 등 인터넷 접점 자산에 집중한다. 최근 금융권 사고에서 회사가 파악하거나 관리하지 못한 자산이 침해 경로로 쓰였을 가능성을 고려한 조치다. 과기정통부는 이달 말까지 점검 대상 현황을 취합하고, 이르면 다음 달, 늦어도 연내에 각 기관의 자체 점검 결과 확인을 마칠 계획이다.

최태현 기자 cth@ekn.kr