← 목록으로

“돈 맡겨도 되나”…2금융권까지 번진 해킹 공포

새마을금고에서 해킹 공격을 받은 사실이 당국에 접수된 것으로 확인된 가운데 10월 14일 서울 시내 한 새마을금고 지점 모습. [사진=연합뉴스]

저축은행 3곳·새마을금고 잇단 유출 사고

금융당국 긴급 점검, 보안 투자 격차 도마 위

[디지털데일리 이호연기자] 은행권에서 시작된 해킹과 개인정보 유출 사고가 저축은행과 새마을금고 등 제2금융권으로 확산하고 있다. 고객 신상정보는 물론 금융거래 관련 정보까지 유출된 것으로 파악되면서 금융소비자들의 불안이 커지고 있다. 금융당국은 긴급 점검에 나섰지만, 시중은행에 비해 열악한 제2금융권의 보안 투자 여력이 구조적 취약점으로 지목된다.

14일 금융권에 따르면 금융위원회는 이날 오후 3시 신진창 사무처장 주재로 금융감독원, 금융보안원 등 관계기관이 참석하는 긴급 점검회의를 연다. 전 금융권이 제출한 12개 항목의 보안점검 결과를 살펴보고 인공지능(AI)을 활용한 해킹 공격에 대한 대응 방안을 논의할 예정이다.

금감원은 개인정보 유출 사고가 발생한 신한은행과 KB국민은행을 검사하는 한편 예가람·웰컴저축은행에 대한 현장점검도 진행하고 있다.

제2금융권에서는 최근 저축은행 3곳과 새마을금고에서 잇따라 개인정보 유출 사고가 발생했다.

예가람저축은행에서는 외부 프로그램의 원격접속 취약점을 악용한 공격으로 고객 약 4만명의 이름과 생년월일, 연락처 등이 유출된 것으로 추정된다. 웰컴저축은행에서도 법인 인터넷뱅킹 아이디와 대표자 이름, 연락처 등 개인정보 2299건이 유출된 것으로 파악됐다.

전날에는 새마을금고중앙회와 OK저축은행에서 각각 4000여명과 183명의 개인정보가 유출된 사실이 추가로 확인됐다.

사고가 발생한 금융사들은 외부 접속 경로를 차단하고 AI 기반 이상징후 탐지 솔루션을 도입하는 등 추가 피해 방지에 나섰다. 고객에게 유출 사실을 통지하고 금전적 피해가 확인되면 보상하겠다는 방침도 밝혔다.

다른 저축은행들도 최고정보보호책임자(CISO)를 중심으로 외부 서비스 접근통제와 이상징후 탐지체계를 점검하고 있다.

저축은행중앙회 역시 보안 점검을 강화하고 있다. 전국 79개 저축은행 가운데 67곳은 중앙회 공동전산망을 이용하고, 나머지 12곳은 자체 전산시스템을 운영한다.

저축은행중앙회의 차세대 통합금융정보시스템(IFIS) 구축 범위 예시 [사진=저축은행중앙회]

이번 사고는 공동전산망이 아닌 개별 금융사가 별도로 운영하는 서비스에서 발생한 것으로 파악됐다. 중앙회는 추가 피해 가능성에 대비해 기존 시스템의 취약점을 점검하고, 2028년 도입을 목표로 추진 중인 차세대 통합금융정보시스템(IFIS)에도 최근 확인된 보안 위협을 반영할 계획이다.

문제는 제2금융권의 제한적인 보안 투자 여력이다.

한국인터넷진흥원(KISA) 정보보호 공시 등에 따르면 제2금융권 236곳 가운데 정보보호 관리체계(ISMS) 인증을 받은 곳은 47곳으로 전체의 19.9%에 그쳤다. 저축은행 중에서는 웰컴저축은행과 애큐온저축은행 등 2곳만 인증을 보유했다.

개인정보의 수집부터 이용·제공·파기까지 관리 수준을 심사하는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증은 저축은행 79곳과 농협·수협·신협·새마을금고 중앙회 모두 보유하지 않은 것으로 파악됐다.

다만 인증 여부만으로 금융사의 실제 보안 수준이나 해킹 대응 능력을 단정할 수는 없다. 인증 현황과 함께 보안 투자 규모, 전담 인력, 사고 대응체계의 실효성을 종합적으로 살펴야 한다는 지적이 나온다.

보안 예산과 인력에서도 시중은행과의 격차가 뚜렷하다. 총자산 기준 업계 4위인 웰컴저축은행의 지난해 정보보호 투자액은 37억5182만원으로 전체 IT 투자액의 15.8% 수준이었다. 정보보호 전담 인력은 7.8명에 그쳤다.

주요 시중은행들이 매년 수백억원을 정보보호에 투입하는 것과 비교하면 격차가 크다. 상대적으로 규모가 작은 중소형 저축은행은 보안 투자에 더욱 제약을 받을 수밖에 없다는 우려가 나온다.

이에 따라 금융사별 보안 투자 확대와 함께 금융당국이 주도하는 업권 공동 대응체계가 필요하다는 목소리가 커지고 있다. 중앙회 공동전산망뿐 아니라 개별 금융사의 홈페이지와 모바일 서비스, 외부 솔루션까지 보안 점검 범위를 넓혀야 한다는 것이다.

상호금융권 관계자는 “최근 공격은 과거 디도스 공격과 달리 다수의 IP를 이용하는 등 AI 기술이 활용된 새로운 수법으로 추정된다”며 “개별 금융사의 대응 노력도 중요하지만 업권 차원에서만 감당하기에는 한계가 있다”고 말했다.

이어 “금융당국이 중심이 돼 새로운 공격 유형에 대응할 수 있는 체계적인 보안 대책을 마련할 필요가 있다”고 강조했다.