미래에셋운용도 업무용 웹시스템 침해…금융권 긴급점검서 130개사 미흡사항 보고
전문가 “핵심 전산망 넘어 고객정보 이동·처리 경로까지 보호해야”
[소셜밸류=변호인 기자] 대신증권의 비대면 계좌개설 연계서버에서 고객 3만8490명의 개인정보가 유출되고, 미래에셋자산운용의 업무용 웹시스템에서도 비정상적인 정보 접근이 확인됐다.
은행권에 이어 금융투자업계에서도 침해사고가 발생하면서 핵심 거래시스템 외에 외부와 연결된 업무시스템의 접근통제와 보안점검 실태가 쟁점으로 떠오르고 있다.
 |
| ▲ 대신증권 사옥 전경./사진=대신증권 제공 |
30일 금융권에 따르면 대신증권은 지난 17일 투자일임 비대면 증권계좌개설 연계서버에서 비정상적인 접근 징후를 확인했다. 회사는 공격에 사용된 인터넷주소(IP) 등을 차단하고 금융보안원과 침해 범위를 조사한 끝에 26일 고객정보 유출 사실과 규모를 파악해 28일 공개했다.
유출된 정보는 고객명, 이메일, 주소, 통신ID, 은행명, 입출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개 항목이다. 회사에 따르면 입출금 계좌번호와 대신증권 종합계좌번호, 휴대전화번호는 암호화된 상태였으며, 현재까지 핵심 업무시스템에 대한 불법 접근이나 유출 정보에 따른 2차 피해 정황은 발견되지 않았다.
다만 비대면 계좌개설 연계서버에서 고객정보에 접근할 수 있었던 구체적인 경로와 사고 이전 접근권한 점검 과정에서 관련 위험이 확인됐는지는 공개되지 않았다. 해당 서버에 저장된 정보가 직접 유출된 것인지, 다른 시스템과 연결된 조회 기능이 이용됐는지에 따라서도 사고의 기술적 성격은 달라질 수 있다.
미래에셋자산운용도 지난 28일 일부 업무용 웹시스템에서 외부 IP를 통한 비정상 접근이 있었다고 밝혔다. 회사는 서버나 데이터베이스(DB)에 직접 침투한 흔적은 없으며, 외부에서 정상적인 접근권한 없이 웹 기능을 통해 일부 업무용 정보를 열람한 사례라고 설명했다. 일반 투자자 정보와 개인신용정보 등은 유출되지 않았다는 입장이다.
미래에셋자산운용은 사고를 인지한 뒤 웹 애플리케이션 방화벽(WAF)을 통한 접속 차단, 취약 기능 중단, 로그인·파일 다운로드 요청 횟수 제한, 비인가 생성 계정 비활성화 등의 조치를 시행했다.
금융회사들의 자체 보안점검 결과에서도 대외시스템의 접근통제 미흡사항이 보고됐다. 금융위원회가 지난 14일 발표한 자료에 따르면 금융회사 555곳을 대상으로 12개 항목을 점검한 결과, 425곳이 적정하다고 제출했고 130곳은 일부 미흡사항을 보고했다. 주요 미흡사항에는 보안패치 미적용과 기술지원 종료 시스템 관리 미흡, 24시간 관제체계 미구축, 대외시스템 인증·인가 누락, 다중인증(MFA) 미도입 등이 포함됐다.
금융위는 앞서 2일 대고객 서비스 여부와 관계없이 외부에서 접근할 수 있는 전산시스템 전반을 점검하도록 주문했다. 이후 외부 접점 목록화와 접근권한 관리, 경영진의 보안관리 책임체계를 포함하는 추가 전수점검도 추진하기로 했다. 다만 이번에 사고가 발생한 대신증권과 미래에셋자산운용의 해당 시스템이 긴급점검에서 어떤 평가를 받았는지는 확인되지 않았다.
황석진 동국대 국제정보보호대학원 교수는 이날 소셜밸류와의 통화에서 핵심 금융시스템에 비해 외부 연계서버나 업무용 시스템의 보안관리가 상대적으로 소홀해질 가능성을 지적했다. 외부 API와 관리자 페이지 등은 업무상 외부 접속이 필요한 만큼, 접근권한 검증뿐 아니라 비정상적인 정보조회 행위를 탐지하는 체계가 필요하다는 설명이다.
황 교수는 금융회사가 규정을 마련했거나 취약점 점검을 실시했다는 사실만으로 실제 침해 가능성을 판단하기는 어렵다고 봤다. 특히 기존에 발견된 취약점의 조치가 지연됐다면 인력과 예산뿐 아니라 서비스 중단 부담, 시스템 노후화, 경영진의 업무 우선순위 등도 함께 살펴야 한다고 설명했다.
금융감독원은 대신증권 침해사고에 대한 현장점검을 진행하고 있다. 금감원 관계자는 "현재 검사가 진행 중이어서 사고 원인이나 침입 경로 등 구체적인 조사 내용을 공개하기는 어렵다"고 설명했다.
[저작권자ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
