은행 이어 증권·보험·코인까지 뚫렸다…금감원 “해킹 최고 경계령”

지난달 은행권에서 촉발된 사이버 침해사고가 증권·보험사를 거쳐 가상자산 업계까지 확산하며 전방위 위협이 커지고 있다. 금융당국은 사태 심각성을 인지해 금융지주 이사회에 정보기술(IT) 보안 강화를 강력히 주문했다.

28일 금융권에 따르면 대신증권과 미래에셋자산운용, 빗썸 등 주요 금융투자사와 가상자산 거래소에서 해킹 피해 정황이 잇달아 드러났다. 각 사는 외부 인터넷 프로토콜(IP) 차단 등 긴급 조치에 나섰으며, 핵심망 침투나 고유식별정보 유출은 피했다고 설명했다.

대신증권은 지난 17일 투자일임 비대면 계좌개설 연계 서버에서 해커의 비정상 접근을 포착했다. 정밀 조사 결과 고객 3만8490명의 이름과 주소 등이 새어나간 것으로 파악했다. 다만 계좌번호와 휴대폰번호 등은 암호화돼 2차 피해 정황은 발견되지 않았다고 전했다. 진승욱 대신증권 대표는 “개인정보 유출을 엄중하게 받아들이며 고객 여러분께 깊이 사과드린다”고 밝혔다.

미래에셋자산운용 역시 일부 웹 시스템 비정상 접근을 확인해 웹 애플리케이션 방화벽(WAF) 차단 조치를 적용했다. 다만 일반 투자자 대상 서비스가 아니며 주민등록번호 등 민감정보 유출은 없다고 선을 그었다. 앞서 26일 미래에셋생명도 개인·신용정보 유출 사실을 알렸다.

빗썸은 사내 모바일 그룹웨어 시스템 침해 사실을 확인해 유출 범위를 분석하고 있다. 현재까지는 임직원 정보만 유출된 것으로 알려졌다

서울 서초구 빗썸라운지 모습. 사진 연합뉴스

각 금융사의 조치에도 2차 피해가 우려된다. 암호화되지 않은 이름, 이메일 등 평문 데이터만으로도 금융사를 사칭한 맞춤형 스피어 피싱 등 추가 금융 범죄에 악용될 수 있기 때문이다.

상대적으로 보안이 철저한 제1금융권 핵심망 대신 외부 연계 서버나 임직원 업무용 시스템을 우회 타격하는 공격 도미노가 이어지자 금융 당국도 적극 대응에 나섰다. 최근 금융권 망분리 규제 완화 기조 속에서 제3자(써드파티) 연계 시스템 취약점이 새로운 뇌관으로 떠올랐다는 위기감이 작용한 것으로 풀이된다.

이찬진 금융감독원장은 28일 서울 여의도 본원에서 8개 은행지주 이사회 의장과 간담회를 진행했다. 이 원장은 인공지능(AI)을 활용한 동시다발적 공격 상시화를 우려하고, 자율 방어체계를 조속히 구축해야 한다고 당부했다. [사진= 금감원 제공]

이찬진 금융감독원장은 이날 서울 여의도 본원에서 8개 은행지주 이사회 의장과 간담회를 열고 인공지능(AI)을 활용한 동시다발적 공격 상시화를 우려했다. 해킹 수단이 진화하면서 공격 대상이 비핵심시설로 확대되는 만큼, 취약점을 능동적으로 찾아 제거하는 자율 방어체계를 조속히 구축해야 한다고 당부했다.

규제 요구사항만 형식적으로 준수하거나 보안 투자를 비용으로 인식해 자원 투입을 소홀히 하는 관행도 지적했다. 그러면서 이사회가 앞장서 고객 재산 보호와 금융 신뢰 유지를 위한 방어 역량을 높여 달라고 덧붙였다.

류태웅 기자 bigheroryu@etnews.com, 김성윤 기자 syk@etnews.com