대신증권, 고객 3만8490명 정보 유출…빗썸도 임직원 정보 유출 확인
계좌 개설 서버부터 사내 그룹웨어까지 침해…외부 접속 경로 관리 도마

은행권을 덮친 보안 사고가 증권사와 자산운용사, 가상자산 거래소로 확산하는 양상이다. 대신증권 고객의 개인·신용정보 유출이 확인된 데 이어 미래에셋자산운용과 빗썸에서도 외부 침해가 발생했다. 금융투자업계가 이달 초 보안 대응 강화에 나섰지만 추가 사고가 잇따르면서 외부와 연결된 시스템의 관리 실태가 도마에 올랐다.

30일 금융투자업계에 따르면 대신증권은 지난 17일 투자일임 비대면 증권계좌 개설 연계 서버에서 비정상적인 접근을 발견했다. 회사는 관련 인터넷주소(IP)를 차단하고 당국에 신고했으며, 조사 과정에서 고객 3만8490명의 정보가 유출된 사실을 확인했다. 유출 사실은 지난 26일 파악됐다.

유출 항목은 고객명, 이메일, 주소, 통신ID, 은행명, 암호화된 입출금 계좌번호와 증권 종합계좌번호, 암호화된 휴대전화번호 등 8개다. 거래내역이 저장된 핵심 데이터베이스가 아닌 응용프로그램 인터페이스(API)를 통해 정보가 유출된 것으로 알려졌다. 회사는 피해 고객 보호와 재발 방지 대책을 마련하고 있다.

빗썸은 지난 27일 사내 모바일 그룹웨어에 외부인이 무단으로 접근해 정보가 유출된 사실을 인지했다. 현재까지 임직원 정보 유출이 확인됐으며, 회원정보가 포함됐는지는 조사 중이다. 거래소 회원정보 유출이나 고객 자산 피해가 확인된 것은 아니다.

미래에셋자산운용도 일부 웹 시스템에서 외부 IP의 비정상적인 접근을 확인하고 해당 경로를 차단했다. 유출이 파악된 정보는 일부 업무용 시스템 관련 정보다. 회사는 투자자 개인정보와 개인신용정보, 고유식별정보 유출 및 금전적 피해는 확인되지 않았다고 설명했다.

미래에셋자산운용 관계자는 “자산운용사는 고객 정보를 보유하고 있지는 않기 때문에 판매 채널 해킹과는 조금 다른 상황”이라며 “개인을 식별할 수 있는 정보가 유출될 가능성은 없다”고 말했다.

세 회사에서 침해가 확인된 시스템은 계좌 개설 연계 서버, 업무용 웹 시스템, 사내 그룹웨어 등으로 서로 다르다. 다만 핵심 거래 시스템뿐 아니라 외부와 연결된 업무용 시스템도 공격 대상이 될 수 있다는 공통점이 있다. 외부 접속 경로와 정보 조회 권한을 어떻게 관리하느냐가 주요 과제로 떠오른 배경이다.

금융당국의 보안 점검에서도 관리상 미흡한 부분이 드러났다. 금융위원회가 금융회사 555곳을 대상으로 12개 항목을 점검한 결과, 130곳에서 일부 미흡 사항이 확인됐다. 전체 점검 대상의 23.4%에 해당한다. 보안 패치 미적용, 24시간 관제체계 미구축, 외부 시스템의 인증·인가 관리 미흡 등이 주요 문제로 지적됐다.

금융감독원은 대신증권과 빗썸에 현장 점검반을 투입했다. 법규 위반 사항이 확인되면 검사로 전환할 방침이다. 경찰도 입건 전 조사에 착수해 기존 금융권 해킹 사고와의 관련성을 살펴보고 있다. 동일한 공격자의 소행인지는 아직 확인되지 않았다.

이찬진 금융감독원장은 지난 28일 은행지주 이사회 의장 간담회에서 “인공지능(AI)을 활용한 해킹으로 취약점 탐지와 동시다발적 공격이 늘어날 수 있다”고 경고했다. IT 보안을 고객 자산과 금융 신뢰를 지키는 핵심 업무로 인식해야 한다는 취지다.

금융투자업계는 사고 발생 이후 접속을 차단하는 데 그치지 않고 외부와 연결된 시스템을 상시 점검해야 하는 과제를 안게 됐다. 업무용 정보와 고객정보에 대한 접근 권한을 구분하고 이상 접근을 조기에 탐지하는 체계를 갖추는 것이 관건이다. 피해 범위가 추가로 확인되면 고객 통지와 보호 조치도 뒤따라야 한다.

[CEO스코어데일리 / 팽정은 기자 / paeng@ceoscore.co.kr]