모바일 인증·그룹웨어 잇단 공격…곽진 교수 “부가서비스 보안점검 중요”
[소셜밸류=변호인 기자] 미래에셋증권이 정보보호 예산을 꾸준히 늘리고 보안체계 강화에 나섰지만 고객과 임직원 3만9000여명의 정보가 유출되는 사고가 발생했다.
미래에셋증권은 올해도 정보보호 예산을 지난해 대비 26% 증액한 가운데 고객 인증서비스와 내부 업무시스템이 잇따라 공격받으면서 보안 투자뿐 아니라 개별 시스템의 관리·점검이 중요하다는 지적이 나온다.
 |
| ▲ 미래에셋증권 사옥 전경./사진=미래에셋증권 제공 |
10일 금융투자업계에 따르면 미래에셋증권은 이달 4일 모바일웹 휴대폰 인증 로그인 서비스에서 외부의 비정상적인 접근을 확인했다. 이 과정에서 고객 약 3800명의 계좌번호가 유출됐다. 회사 측은 예금주명과 계좌 비밀번호, 거래내역 등은 유출되지 않았다고 설명했다.
이튿날인 5일에는 사내 그룹웨어인 ‘mi-global’이 공격받아 임직원 3만5255명의 개인정보가 유출됐다. 퇴직자와 외주직원도 피해 대상에 포함됐다. 유출 정보는 대부분 성명과 사번이었으며 일부 대상자의 이메일 주소와 휴대전화 번호, 암호화된 비밀번호도 노출됐다.
미래에셋증권은 사고를 인지한 뒤 해당 서비스의 외부 연결을 차단하고 취약점 점검에 착수했다. 현재까지 확인된 금전적 피해는 없으며 주요 거래 서비스는 정상 운영되고 있다는 입장이다. 김미섭·허선호 공동대표는 지난 7일 사과문을 통해 사고 경위와 유출 범위를 파악하고 재발방지 대책을 마련하겠다고 밝혔다.
이번 사고는 미래에셋증권이 수년간 정보보호 투자를 확대해 온 상황에서 발생했다는 점에서 주목된다.
국회 정무위원회 소속 김재섭 의원실이 확보한 자료에 따르면 미래에셋증권의 정보보호 예산은 2023년 174억원에서 2024년 191억원, 2025년 245억원으로 증가했다. 2년간 증가율은 약 40.8%다. 2025년 기준 정보보호 예산이 200억원을 넘는 증권사는 미래에셋증권이 유일했다.
올해도 보안 투자 확대 기조를 이어갔다. 하나증권 고연수 연구원이 올해 2월 9일 발간한 미래에셋증권 컨퍼런스콜 정리 자료에 따르면 회사는 지난해 보안체계 전반을 점검하고 차세대 보안 로드맵을 수립했다. 이를 바탕으로 올해 정보보호 예산을 작년보다 26% 증액했다고 밝혔다.
지난 7월 발간한 ‘2026 통합보고서’에도 보안 관련 지표가 담겼다. 전체 정보기술(IT) 예산에서 정보보호 지출이 차지하는 비중은 2024년 7.99%에서 2025년 10%로 높아졌다. 회사는 전자금융기반시설에 대한 취약점 점검과 모의해킹, 분산서비스거부(DDoS·디도스) 공격 대응 훈련 등을 정기적으로 실시했다고 설명했다.
그러나 보안 투자 규모나 점검 실적이 침해사고 예방 능력을 그대로 보여주는 것은 아니라는 게 전문가의 설명이다.
곽진 아주대 사이버보안학과 교수는 “보안 투자액이 많다고 해서 침해사고를 완전히 막을 수 있는 것은 아니다. 공격자는 취약점 하나만 찾으면 되지만 방어자는 모든 취약점을 찾아야 한다”고 말했다.
곽 교수는 최근 금융권에서 발생한 침해사고가 핵심 전산시스템뿐 아니라 부가서비스와 업무용 시스템에서도 나타난다는 점에 주목했다. 그는 “보안 강화나 기술 도입 과정에서 부가서비스와 업무용 시스템이 우선순위에서 밀리는 문제가 있다”며 “보안장비를 도입했다고 끝나는 것이 아니라 정상 작동 여부와 패치·업데이트 상태를 지속적으로 검증해야 한다”고 강조했다.
비슷한 시기에 미래에셋그룹 계열사들에 대한 사이버 공격이 잇따랐다. 지난달 26일 미래에셋생명에서 고객 개인정보 유출이 확인됐고, 같은 달 28일 미래에셋자산운용에서도 외부 침투 시도가 파악됐다. 이달 2일에는 에너지인프라자산운용을 대상으로 공격 시도가 발생했다.
미래에셋증권까지 포함하면 최근 공격 대상이 된 계열사는 4곳이다. 다만 각 사고의 피해 범위와 정보 유출 여부는 서로 다르며, 사고 간 연관성도 아직 확인되지 않았다.
미래에셋그룹은 이달 5일 정기 조직개편을 통해 정보보호 조직을 부문 단위로 격상하고 사재식 미래에셋증권 정보보호본부장을 정보보호부문 대표로 선임했다. 기술·보안 역량 강화를 위한 조직개편이 이뤄진 시기에 개인정보 유출 사고도 발생한 셈이다.
금융감독원은 지난 9일 미래에셋증권에 대한 현장점검에 착수했다. 금감원은 고객·임직원 정보 유출 경위와 피해 규모를 조사하는 한편, 미래에셋그룹 계열사에서 잇따라 발생한 침해사고 사이의 연관성도 살펴보고 있다.
[저작권자ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
