금융권 침해사고 16개사·정보유출 약 10만 건…동일 공격자·AI 활용 여부는 조사 중

금융권 침해사고는 신한은행 침해사고 전후로 사고 확인 회사가 존재하는 가운데 여러 업권에서 확인됐다. 사고가 확인된 업권은 은행, 저축은행, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자, 상호금융이다. 침해사고는 전 업권으로 확산된 상태다.

금융권 침해사고가 확인된 회사는 16개사다. 현재까지 파악된 정보유출 규모는 약 10만 건이다. 유출된 정보 항목은 성명, 연락처, 주민등록번호, 이메일이다.

금융회사들은 추가 침해 확인을 진행 중이다. 이에 따라 사고 회사 수는 추가로 증가할 가능성이 있다.

금융당국은 각 사고의 연관성을 조사 중이다. 금융당국은 동일 공격자 여부도 조사 중이다. 금융당국은 공격 과정의 AI 활용 여부도 조사 중이며, AI 활용 여부는 아직 미확정이다.

금융위원회는 14일 신진창 사무처장 주재로 '제2차 긴급 상황대응 회의'를 개최했다. 회의 안건은 금융권 침해사고 조사 경과, 긴급 보안점검 결과, 재발 방지를 위한 제도개선 과제였다.

정보유출이 확인된 곳은 신한은행, KB국민은행, 부산은행, 하나은행, 예가람저축은행, 웰컴저축은행, 디비저축은행, 오케이저축은행, 현대캐피탈, 산은캐피탈, PFCT, 모우다, 브라이트픽스, 스트리미, 프라뱅, 새마을금고중앙회 등 16개사다. 현재까지 확인된 정보유출 규모는 약 10만 건이다.

금융위는 계좌번호·카드번호 등 직접적 부정결제 우려 정보의 유출은 확인되지 않았다고 설명했다. 다만 성명·연락처·주민등록번호가 유출돼 개인정보 악용에 따른 2차 피해 우려가 제기되고 있다.

금융당국은 사고 회사들을 대상으로 추가 침해 방지조치를 요구하고 있다. 구체적으로 공격자 IP 차단, 보안패치, 관련 서비스 중단을 요구했으며, 개인정보 유출 사실 및 대응요령을 고객에게 안내하는 소비자 보호조치를 관리·감독하고 있다.

금융감독원·금융보안원은 현장 조사를 진행하고 있다. 조사에서는 침해경로 분석, 공격방식 분석, 동일 주체 공격 여부 확인, AI 해킹 가능성 확인이 이뤄지고 있으며, 사고 간 연관성은 아직 확정되지 않았다. 다른 금융회사들은 공유된 IP 기반의 침해 여부를 점검 중이며, 피해 범위는 추가로 확대될 가능성이 있다.

연쇄 침해사고를 계기로 금융회사들을 상대로 긴급 보안점검이 실시됐고, 그 결과 기본적 관리가 미흡한 사례가 확인됐다.

이번 점검은 금융회사 555개사를 대상으로 12개 항목 체크리스트에 따라 진행됐으며, 각 회사는 8일까지 점검 결과를 제출했다. 이 가운데 425개사는 '적정'을 제출했고, 130개사는 미흡사항을 보고했다.

130개사의 미흡 보고 비중은 약 23.4%다. 다만 이 130개사는 침해사고가 발생한 회사 수를 뜻하는 것이 아니라, 보안점검상 보완이 필요하다고 보고한 회사 수를 의미한다.

주요 미흡사항으로는 최신 보안패치 미적용, 제조사 기술지원 종료 시스템 관리 미흡, 24시간 실시간 관제체계 미구축, 외부 시스템 인증·인가 누락, 중요 서비스 다중요소 인증(MFA) 미도입이 제시됐다. 대부분은 보안패치·관제체계 관련 1~2개 항목에서 보완이 필요한 것으로 확인됐다.

미흡사항은 전자금융업·온라인투자연계금융업 부문에서 비교적 많이 발견됐다. 해당 부문은 상대적으로 보안역량이 약한 특성이 있다.

해당 회사들은 실행계획을 제출했다. 실행계획에는 보안패치, 노후장비 교체, 관제 인력·설비 확충, 인증범위 확대, 접근통제 강화가 담겼다. 해당 회사들은 보완조치를 진행 중이다.

금융당국은 긴급 점검 이후 보안관리 전반에 대한 전수점검을 추진한다. 전수점검은 공격자 침투 경로로 쓰일 수 있는 외부접점을 파악하는 것을 대상으로 한다.

전수점검에서는 인증·접근통제 점검과 내부통제 점검을 병행한다. 금융당국은 금융회사 전산시스템의 모든 외부접점을 목록화하고, 외부접점 목록을 최신 상태로 유지하며, 각 접점의 인증과 접근권한을 명확화할 계획이다.

금융당국은 CEO·CISO·CIO 보고체계 정비와 CEO·CISO·CIO 책임범위 정비를 지도·감독할 예정이다. 구체적 점검 범위와 구체적 점검 일정은 금융권 협의 후 확정될 예정이다.

금융당국은 위협정보 공유 확대를 추진한다. 현재는 금감원·금융보안원이 파악한 해킹위협 정보가 통합관제시스템(FIRST) 등으로 금융권에 전파되고 있으나, 금융회사의 자체 관제 과정에서 파악한 정보는 현재 공유되지 않고 있다고 금융위는 설명했다. 이에 따라 금융회사들이 자체 관제에서 포착한 정보까지 공동 활용하는 방향으로 공유 범위를 넓히는 흐름이다.

당국은 금융회사 사이의 위협정보 공유와 공동대응이 더 빠르게 이뤄지도록 개별 금융회사 위협정보 공유용 통합관제시스템 등 시스템 개선을 추진할 계획이다. 이는 한 회사가 발견한 공격 징후를 다른 회사도 신속히 확인하고 대응할 수 있도록 하기 위한 목적이다. 당국은 이와 함께 공동대응 체계도 보완할 계획이다.

당국은 금융회사를 대상으로 한 AI 위협수준 정보체계도 추진한다. 이 체계는 위협 정도를 직관적으로 판단할 수 있도록 지원하는 데 목적이 있다. 아울러 공격자 관점에서 외부 노출자산·내부 소스코드·모바일 앱 취약점을 점검하는 AI 기반 인프라 구축도 추진한다.

당국은 취약점 점검·평가 제도도 강화할 방침이다. 금융위에 따르면 현행 제도상 금융회사·전자금융업자는 연 1회 취약점 점검·평가를 해야 한다. 금융위는 현행 제도상 외부 홈페이지에 대해서는 연 2회 취약점 점검·평가 의무가 있다고 설명했다.

당국은 외부접점이 넓고 고객 수가 많은 대형 금융회사부터 점검·평가 주기를 연 2회 이상으로 확대하는 방안을 추진한다. 중요한 외부접점도 필수 점검 대상에 포함하는 방안을 추진한다. 당국은 긴급한 필요가 있을 때 수시점검을 실시할 수 있는 근거를 마련하는 방안도 검토한다.

금융당국은 중소형 금융회사와 전자금융거래법 비적용 업종까지 포괄해 보안 대응 체계를 보완하기로 했다. 이에 따라 중소형 금융회사를 대상으로 금융보안원이 업권별 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축 방안을 검토하고, 공격표면 점검을 위한 블랙박스 테스트를 추진할 계획이다. 아울러 맞춤형 보안안내서 마련도 추진할 계획이다. 전자금융거래법 적용 제외 대상인 대부업·보험대리점(GA)을 상대로는 대응요령을 전파하고, 대부업·보험대리점(GA) 대상 보안 강화방안도 검토하기로 했다.

신진창 금융위 사무처장은 그간 전수점검·관리 강화 주문이 여러 차례 있었으나 기본 보안관리 미준수 사례가 발견됐다고 지적했다. 이어 외부접점·인증관리·보안관제·CEO·이사회의 책임을 포함한 보안체계 전반을 재점검하고, 근본적 제도개선도 추진하겠다는 방침을 밝혔다.

출처: 아이티데일리 (IT DAILY) · 이재영 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242188

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242188