 ▲ 신한은행 (사진: 연합뉴스) |
신뢰를 최우선 자산으로 삼는 금융기관에서 예민한 신용정보가 대량으로 빠져나갔다.
신한은행에서 고객 2만5천여 명의 이름과 전화번호, 연소득, 연계정보 등 개인정보가 유출되는 해킹 사고가 발생했고, 정상혁 신한은행장이 대국민 사과문을 발표한 가운데 금융당국이 긴급 현장 조사에 나섰다.
◆ 정상혁 행장 "깊은 사과"…전사 비상대응체계 가동
신한은행은 1일 정상혁 행장 명의의 사과문을 내고 “일부 고객들의 개인(신용)정보가 유출되어 깊은 사과의 말씀을 드린다”며 “최근 외부 비인가자가 비정상적인 방법을 통해 일부 고객 정보를 유출한 사실을 확인했다”고 밝혔다. 정 행장은 “개인 정보 유출 사실을 인지한 즉시 전사적 비상대응체계를 가동하고 외부 IP 차단, 관련 서비스 중단, 보안 정책 신규 적용 등 필요한 긴급 조치를 완료했다”고 말했다.
◆ 유출 규모 2만5천여 명…대출 신청 정보 중심, 일부는 주민번호·CI까지
신한은행이 현재까지 파악한 유출 규모는 2만5천여 명이다. 유출된 정보는 고객명, 전화번호, 연소득, 직장명 등 대출 신청과 관련된 정보가 주를 이룬다. 일부 고객은 주민등록번호(66건)와 이용자 식별정보(CI·97건)까지 노출된 것으로 확인됐다.
해킹 공격은 지난 29일부터 30일 사이 이뤄졌다. 신한은행은 29일 오전 공격 사실을 인지하고 방어에 나섰지만 일부 고객 정보의 유출을 막지 못했다. 이후 은행은 유출 사실을 금융당국에 보고했고, 금융감독원은 1일 오전 현장 검사에 착수했다.
◆ 약한 고리 노린 해커…모집인용 조회 서비스가 출발점
해커들은 은행 보안의 ‘약한 고리’를 파고든 것으로 알려졌다. 출발점은 신한은행 모바일 누리집의 대출 모집인용 조회 서비스였다. 해커들은 이 서비스에서 빼낸 고객번호 등의 정보를 토대로, 연락처와 생년월일을 조회할 수 있는 다른 서비스에 무단 접근해 고객 정보를 탈취했다. 보안 전문가들은 이를 해킹에서 흔히 쓰이는 ‘크리덴셜 스터핑’ 수법으로 설명한다.
◆ "피해 확인 시 전액 보상"…보호 체계 원점 점검
신한은행은 이번 정보 유출로 고객 피해가 확인되면 전액 보상하겠다고 밝혔다. 아울러 개인신용정보 보호 체계 전반을 원점에서 점검하겠다는 입장이다. 고객은 신한은행 누리집에서 자신의 정보가 유출됐는지 확인할 수 있다.
[기자 코멘트]
이번 사고에서 가장 우려되는 대목은 유출 규모 자체보다 유출된 정보의 ‘조합’이다. 이름과 전화번호에 연소득, 직장명 등 대출 신청 정보가 한꺼번에 노출됐다는 것은 보이스피싱과 대출사기, 불법사금융 접촉의 정교한 표적 목록이 만들어질 수 있다는 뜻이다.
앞서 본지가 다룬 불법사금융 근절 시행령 논의가 금융소비자 보호의 사후 대응에 방점이 있었다면, 이번 사고는 사전 예방, 즉 금융기관의 접근통제와 이상징후 탐지 체계가 실제로 작동하는지에 대한 물음을 던진다.
은행이 29일 오전 공격을 인지하고도 일부 유출을 막지 못했다는 점에서 탐지 이후 차단까지의 시간 지연이 왜 발생했는지가 핵심 쟁점이 될 것이다. 대출 모집인용 조회 서비스처럼 외부 접근이 가능한 서비스에서 다른 서비스로 연쇄 조회가 가능했던 구조 자체가 설계상 허점이었는지 금감원 검사로 규명될 사안이다. 은행이 설명한 ‘크리덴셜 스터핑’은 통상 유출된 계정 정보를 대입하는 수법으로 알려져 있어, 이번 경로가 이와 정확히 일치하는지도 조사 결과를 지켜볼 필요가 있다.
피해 구제와 책임의 범위도 남은 과제다. 은행은 피해가 확인되면 전액 보상하겠다고 했지만, 보상 기준과 절차, 2차 피해의 입증 방식은 아직 구체화되지 않았다. 고객이 직접 누리집에서 확인하는 방식 외에 개별 통지가 이뤄지는지, 주민등록번호와 CI가 유출된 고객에 대한 별도 보호 조치가 있는지도 확인이 필요하다. 사고 규모는 2만5천여 명으로 파악됐지만 조사 과정에서 추가 확인될 가능성도 열려 있다. 관련 법령에 따른 당국의 제재 수위와 함께, 다른 금융기관의 유사 서비스에 대한 전수 점검 여부도 금융권 신뢰 회복의 관건이다.
기사작성: 미디어코리아 박상찬 기자 mknews114@gmail.com