해킹 공포에 떠는 저축은행… 보안역량 강화 ‘화두’

시사위크=이미정 기자  금융권이 ‘해킹 공포’에 떨고 있다. 최근 금융권을 상대로 해킹 공격이 동시다발적으로 이어진 가운데 금융사 곳곳에서 개인정보유출 사고가 발생했다. 저축은행 업권에서도 줄줄이 개인정보유출 피해가 확인됐다. 이번 사태를 계기로 업권 전체적인 보안 시스템 강화가 과제가 떠올랐다. 

◇ 저축은행 휘감은 해킹공포… OK저축은행도 털렸다

OK저축은행은 해킹 공격으로 일부 고객의 개인정보유출이 확인됐다고 15일 밝혔다. OK저축은행 측은 “최근 발생한 홈페이지 대출신청 웹페이지 내 비인가자의 비정상 접속 건과 관련해 외부 보안 전문 관제업체 2곳과 진행한 정밀 조사결과, 일부 고객의 개인정보 유출 사실이 최종 확인됐다”고 설명했다. 

유출대상은 홈페이지 내 대출신청서비스를 이용한 일부 고객 250명으로 최종 확인됐다. 유출된 항목은 △이름 △생년월일 △휴대폰번호 △계좌번호 △주소 △이메일 △직장명 △사업자번호 △연소득 △대출금액 등 대출 신청 관련 정보다. 

이로써 총 3곳의 저축은행사에서 해킹 공격으로 개인정보유출이 확인됐다. 앞서 예가람저축은행과 웰컴저축은행은 해킹 공격으로 개인정보가 유출됐다고 밝힌 바 있다. 이 중 예가람저축은행은 지난달 30일 해킹 공격으로 고객 성명, 생년월일, 연락처, 계좌번호, 주민등록번호, 직장명, 주소 등 개인정보 약 5만건이 유출된 것으로 파악됐다. 

웰컴저축은행은 지난달 27일 해킹 공격으로 법인 인터넷 뱅킹 아이디, 법인명, 대표자 이름, 회사 업무 연락처, 휴대전화번호, 전자우편주소 등 2,370건의 정보가 유출됐다. 이 가운데 개인정보는 2,299건이다. 이외에 DB저축은행은 해킹 공격을 받은 것으로 알려졌지만 은행 측은 현재까지 개인정보가 실제로 유출된 정황은 없다는 입장이다.

최근 해킹 공격은 금융권을 상대로 전방위적으로 이뤄졌다. 은행, 저축은행, 캐피탈, 상호금융 등 업권을 가리지 않고 확인되고 있다. 현재까지 당국이 파악한 바에 따르면 금융사 16곳에서 약 10만건의 개인정보가 유출된 것으로 추정됐다. 이번 해킹 공격은 주로 핵심 전산 시스템이 아닌, 취약한 외부 시스템을 노리는 수법을 썼다. 특히 인공지능(AI) 자동화 도구를 이용한 정황이 파악되면서 큰 파장을 일으키고 있다.

저축은행 업권도 이번 사태로 바짝 긴장하고 있는 모습이다. 저축은행업계는 대부분은 저축은행중앙회의 공동전산망을 사용하고 있다. 현재 국내 79개 저축은행 가운데 67곳이 이 같은 공동전산망을 사용하고 있다. 나머지 12곳은 자체 시스템을 운영한다. 

이번 해킹 사고로 중앙회의 공동전산망이 뚫리지는 않았다. 중앙회도 외부 IP로부터 침입 시도 및 해킹 공격을 받았으나 정보 유출 등의 피해는 없는 것으로 전해졌다. 이번에 확인된 해킹 사고는 주로 저축은행의 자체 운영 외부 서비스나 대출 신청 페이지 등에서 발생했다.

◇ 저축은행 보안 투자 현황 깜깜이… 전반적 시스템 강화돼야

다만 수십개의 저축은행이 공동전산망을 쓰는 구조인 만큼 이번 사태를 계기로 보안시스템을 고도화해야 한다는 지적이 나오고 있다. 이번에 해킹 공격을 막아냈지만, 만약 핵심 시스템이 뚫리면 피해가 커질 수 있기 때문이다. 이에 중앙회 차원에서 보안 강화를 위한 적극적인 투자가 요구되고 있다. 

개별 저축은행 역시 보안 역량 강화가 필요할 전망이다. 현재 저축은행의 정보보호 투자액과 인력을 외부에 공시할 법적 의무가 없어 대부분 ‘깜깜이’ 상태로 운영되고 있다. 전국 79개 저축은행 중 한국인터넷진흥원(KISA) 정보보호 공시 종합포털에 자율적으로 보안 현황을 공시한 곳은 웰컴저축은행과 신한저축은행 등 2곳에 불과하다. 

웰컴저축은행은 2024년부터 자율적으로 정보보호 현황을 공개하고 있다. 지난해 정보보호 투자액은 37억5,182만원을 기록했다. 정보보호 인력은 내부인력 6명과 외주인력 1.8명 등 총 7.8명이다. 올해 처음 공시에 참여한 신한저축은행은 정보보호에 11억5,127만원을 투입했다. 정보보호 인력은 6.1명(내부인력 3명·외주인력 3.1명)으로 집계됐다.

이 외에 대부분은 정보보호에 어느 정도 예산과 인력을 투입하고 있는지 확인되지 않고 있다. 

최근 해킹 사고가 핵심 시스템이 아닌, 외부의 취약점을 노린 만큼 개별 저축은행사도 보안 역량 강화를 위한 대응이 필요하다는 지적이 나온다. 

현재 금융사는 한국인터넷진흥원(KISA) 등의 정보보호 공시 의무 대상은 아니었다. 이에 최근까지는 자율 공시나 금융권 자체 규율에 의존해 왔다. 다만 정부는 내년 1월 1일부터 금융사를 포함한 기존 예외 대상의 정보보호 공시 의무대상 제외 규정을 삭제하는 ‘정보보호산업의 진흥에 관한 법률 시행령’ 개정안을 추진하고 있다. 

이번 해킹 사고를 계기로 보안 시스템 강화가 최대 화두로 떠오른 가운데 저축은행업권도 적극적인 대응에 나설지 주목된다.