연합뉴스
외식 물가 부담에 냉동치킨 '인기'…식품업계, 차별화 경쟁 속도
더팩트
[비즈토크<하>] 증권사도 코인거래소도 뚫렸다…금융권 해킹 공포 확산
대신증권, 3만8000여명 정보 유출…빗썸 1559명 피해
바이낸스 8.4억원 해킹 이어 프라뱅 1억원 탈취…감독 실효성 논란
☞<상>편에 이어
[더팩트ㅣ정리=김정산 기자]
◆ 금융사도 거래소도 뚫렸다…금융권 덮친 해킹 공포
-이번 주 금융투자업계에서 해킹 사고가 잇따랐다고요?
-네. 가장 큰 개인정보 유출 피해가 확인된 곳은 대신증권입니다. 지난달 17일 외부 투자자문·일임사와 연결된 비대면 계좌개설 연계서버에서 비정상적인 접근이 발견됐는데요. 이후 금융보안원과 함께 조사한 결과 고객 3만8490명의 개인정보가 유출된 것으로 확인됐습니다.
유출된 정보에는 고객 이름과 이메일, 주소, 은행명, 계좌번호, 휴대전화번호 등 8개 항목이 포함됐습니다. 다만 계좌번호와 휴대전화번호 등 일부 정보는 암호화된 상태였으며 현재까지 확인된 2차 피해는 없다는 것이 회사 측 설명입니다.
미래에셋자산운용에서도 일부 업무용 웹 시스템이 외부 공격을 받았습니다. 회사 측은 일반 고객의 투자정보나 개인신용정보 유출은 확인되지 않았다고 설명했는데요. 앞서 같은 그룹 계열사인 미래에셋생명에서도 침해사고가 발생하면서 금융권 전반의 보안 취약성에 대한 우려가 커지고 있습니다.
-가상자산 거래소에서도 개인정보가 대거 유출됐다는데요.
-그렇습니다. 국내 대형 가상자산 거래소인 빗썸에서도 지난달 27일 사내 모바일 그룹웨어 시스템이 해킹당하는 사고가 발생했습니다.
이번 사고로 빗썸 임직원 715명과 고객 844명 등 총 1559명의 개인정보가 유출된 것으로 확인됐습니다. 당초 사고 관련 고객정보는 6444명분으로 파악됐지만 이 가운데 5600명분은 외부에서 접근할 수 없도록 암호화된 파일에 저장돼 실제 정보 노출로 이어지지 않았습니다.
특히 유출된 정보에는 이름과 휴대전화번호, 이메일 주소뿐 아니라 주민등록번호와 운전면허번호, 계좌번호, 신분증 사본 등 민감한 개인정보도 포함됐습니다. 유출 항목은 고객마다 다른 것으로 파악됩니다.
이번 사고는 지난달 27일 오전 11시28분부터 오후 12시 27분 사이 발생했습니다. 빗썸은 같은 날 오후 12시 14분 비정상적인 접근을 인지하고 공격자의 접근 경로를 차단하는 등 긴급 보안 조치를 시행했습니다.
다만 침해가 발생한 그룹웨어는 고객의 거래소 계정 및 보유 자산 정보와 분리된 내부 업무 시스템으로, 현재까지 핵심 거래 시스템이나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다는 것이 회사 측 설명입니다.
이재원 빗썸 대표는 공식 사과문을 통해 "개인정보가 유출된 고객에서 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다"며 내부 업무 인프라 전반의 보안체계를 원점에서 재점검하겠다고 밝혔습니다.
◆ 해킹에 지갑도 위험…가상자산 투자자 불안 확산
-개인정보 유출을 넘어 실제 자산이 탈취된 사례도 나왔다고요?
-네. 가상자산 거래소 프라뱅에서는 약 1억원 규모의 자산 피해가 발생했습니다. 지난달 24일 외부 비인가자가 핫월렛에 접근해 비정상적인 출금이 이뤄진 것인데요. 프라뱅은 사고 직후 비상대응체계를 가동하고 시스템을 점검하는 과정에서 보안 취약점을 발견해 거래소 서비스를 잠정 중단했습니다. 피해 자산은 회사 자금으로 전액 보전할 방침입니다.
이번 사고는 최근 금융권에서 동시다발적으로 발생한 해킹 가운데 실제 금전 피해가 확인된 첫 사례로 알려졌습니다. 그동안 개인정보 유출에 집중됐던 피해가 실제 자산 탈취로까지 확대됐다는 점에서 우려가 커지고 있습니다.
특히 가상자산은 탈취된 이후 여러 지갑을 거쳐 이동하거나 해외 거래소로 이전될 경우 추적과 회수가 쉽지 않다는 특성이 있습니다. 이번에는 거래소가 피해를 전액 보전하겠다고 밝혔지만 향후 비슷한 사고가 반복될 경우 투자자 피해가 확산할 수 있다는 지적입니다.
-세계 최대 가상자산 거래소 바이낸스에서도 대규모 해킹 사고가 발생했다면서요?
-네. 세계 최대 가상자산 거래소 바이낸스에서 약 63억달러, 우리 돈으로 약 8조4000억원 규모의 가상자산이 탈취되는 사고가 발생했습니다.
바이낸스가 공개한 초기 조사 결과에 따르면 개발·운영(DevOps) 엔지니어의 노트북이 해킹당하면서 사고가 시작된 것으로 추정됩니다. 공격자가 이를 통해 서비스 컨테이너에 접근한 뒤 승인되지 않은 출금 거래를 실행했을 가능성이 있다는 설명입니다.
바이낸스는 현재까지 가상자산 지갑의 개인키가 유출됐다는 증거는 발견되지 않았다고 밝혔습니다. 탈취된 자산 가운데 약 30억달러는 블록체인 관련 업체들과 협력해 동결한 상태입니다.
특히 바이낸스는 이용자 피해액 전액을 자체 투자자 보호 기금인 SAFU와 회사 자금으로 보전하겠다고 밝혔습니다. 추가 피해를 막기 위해 입출금 서비스도 일시 중단하고 수사기관과 협력해 유출 자금 추적에 나섰습니다.
-국내 가상자산 거래소들도 비상이 걸렸겠네요?
-그렇습니다. 업비트와 빗썸 등 국내 주요 거래소들도 바이낸스 해킹 사고가 알려진 직후 투자자들에게 주의를 당부했습니다. 특히 업비트는 지난달 30일 공지를 통해 바이낸스에서 보안 사고와 일부 디지털자산 탈취 정황이 확인됐다며 바이낸스로 가상자산을 출금할 경우 각별히 유의해 달라고 안내했습니다.
여기에다 관련 상황을 지속적으로 모니터링하고 있다고 설명합니다. 투자자 보호를 위해 필요한 경우 바이낸스로의 가상자산 출금을 제한할 수 있다는 입장입니다. 바이낸스와 협력해 이용자 자산 보호에 나서는 한편, 탈취 자산 동결 등의 협조 요청이 접수되면 관련 법령과 절차에 따라 대응할 예정입니다. 국내 거래소에서 발생한 해킹 사고에 이어 세계 최대 거래소까지 공격받으면서 가상자산 시장 전반의 보안 신뢰도에 대한 우려가 커지고 있습니다.
◆ 핵심 거래망만 지켜선 역부족…외부 접점이 뚫렸다
-해커들이 금융회사들의 보안망을 잇달아 뚫을 수 있었던 이유는 무엇인가요?
-이번 사고들에서 주목할 부분은 해커들이 반드시 핵심 거래 시스템을 직접 공격한 것은 아니라는 점입니다. 대신증권은 비대면 계좌개설 연계서버, 빗썸은 외부 업체가 제공하는 사내 그룹웨어가 공격 대상이 됐습니다. 바이낸스 역시 초기 조사에서는 개발·운영 담당자의 노트북이 최초 침입 경로로 지목됐는데요. 금융회사들이 핵심 거래망의 보안을 강화하더라도 외부 시스템이나 직원 업무용 기기에 취약점이 존재하면 이를 통해 공격이 이뤄질 수 있다는 의미입니다.
특히 최근에는 AI를 활용한 사이버 공격 가능성까지 제기되고 있습니다. AI를 이용하면 보안 취약점을 빠르게 탐색하고 여러 금융회사를 동시에 공격하는 것도 가능해지는데요. 다만 이번 개별 사고들에 AI가 실제 활용됐는지, 동일한 해킹 조직이 관여했는지는 확인되지 않았습니다.
-금융당국이 이미 대규모 보안점검을 실시했는데도 사고가 이어졌다고요?
-그렇습니다. 금융위원회와 금융감독원은 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 보안 체크리스트를 점검했습니다. 그런데 전체의 23.4%에 해당하는 130곳에서 미흡사항이 발견됐습니다. 금융회사 네 곳 중 한 곳꼴로 기본적인 보안관리에 문제가 있었던 셈인데요. 주요 문제점으로는 최신 보안패치 미적용과 노후 시스템 관리 미흡, 24시간 보안관제체계 미구축 등이 지적됐습니다.
문제는 이처럼 대규모 점검을 실시했음에도 추가 침해사고가 잇따라 확인되고 있다는 점입니다. 금융당국이 서류 중심의 점검에 치중하면서 실제 해커들이 노리는 취약점을 충분히 찾아내지 못한 것 아니냐는 비판이 나옵니다.
황석진 동국대 국제정보보호대학원 교수는 <더팩트>와의 통화에서 "금융권의 보안 문제를 서류상으로만 해결할 것이 아니라 실질적으로 현장에 나가 보안점검을 해야 한다"며 "대표적인 금융회사 서너 곳만 표본으로 선정해 점검했더라도 어떤 부분이 취약한지 확인할 수 있었을 것"이라고 지적했습니다.
-금융당국의 감독 책임론도 커지고 있겠네요?
-네. 금융당국이 잇따른 해킹 사고 이후 긴급회의와 현장점검, 보안 강화 대책을 내놓고 있지만 정작 사고를 사전에 예방하는 데는 한계를 드러냈다는 지적이 나옵니다.
이억원 금융위원장도 지난달 8일 국회 정무위원회 국정감사에서 금융권 해킹 사고와 관련해 "우리의 대응방식이 아주 기본적인 부분도 굉장히 미흡하다"며 개선 필요성을 인정한 바 있습니다.
이찬진 금감원장 역시 지난달 28일 금융지주 이사회 의장들과의 간담회에서 금융회사들이 IT 보안을 단순한 비용으로 인식하는 관행을 강하게 비판했습니다.
이 원장은 "IT 보안을 부수적 업무로 간주해 규제 요구 사항만을 형식적으로 준수하거나 IT 보안 투자를 비용으로 인식해 충분한 인력과 자원을 투입하지 않는 행태가 더 이상 반복되어서는 안 될 것"이라고 강조했습니다.
다만 보안점검 이후 사고가 확인됐다는 사실만으로 당국의 감독 부실이 개별 해킹의 직접적인 원인이라고 단정하기는 어렵습니다. 그럼에도 기존 점검 방식이 실제 사이버 공격에 얼마나 효과적으로 대응할 수 있는지를 검증해야 한다는 목소리가 커지고 있습니다.
◆ 점검 횟수보다 대응 역량…금융권 보안체계 재정비
-앞으로 금융권의 보안체계는 어떻게 달라져야 할까요?
-금융당국은 금융회사 보안체계에 대한 전수점검을 추진하고 외부 연계 시스템의 인증과 접근통제를 강화하기로 했습니다. 고객 수가 많고 외부 접점이 넓은 대형 금융회사의 보안 취약점 점검 주기도 연 2회 이상으로 확대할 방침입니다. 또한 최고경영자(CEO)와 최고정보보호책임자(CISO)의 보안관리 책임을 강화하고 AI 기반 취약점 탐지 인프라와 중소형 금융회사 공동 보안관제시스템 구축도 추진할 계획입니다.
그러나 전문가들은 단순히 점검 횟수를 늘리는 것만으로는 고도화되는 해킹 공격을 막기 어렵다고 지적합니다. 실제 공격이 발생했을 때 얼마나 신속하게 탐지하고 차단할 수 있는지, 고객 피해가 발생했을 경우 얼마나 빠르게 대응할 수 있는지가 중요하다는 겁니다.
황 교수는 "해킹을 완벽하게 막는 것은 현실적으로 불가능하다"며 "중요한 것은 해킹이 발생했을 때 얼마나 빨리 탐지하고 차단할 수 있는지, 피해 규모를 얼마나 신속하게 파악해 고객에게 통지할 수 있는지"라고 강조했습니다.
이어 "금융당국은 어떤 점검을 실시했다는 사실보다 실제 보안 취약점이 얼마나 개선됐고, 사이버 공격을 얼마나 효과적으로 차단할 수 있는지를 감독의 핵심 기준으로 삼아야 한다"고 지적했습니다.
kimsam119@tf.co.kr
