국내 주요 금융그룹인 미래에셋그룹에서 불과 2주 사이 계열사 4곳이 잇따라 해킹 공격을 받은 사실이 드러났다. 생명보험과 자산운용 계열사에 이어 주력 회사인 미래에셋증권까지 공격 대상이 되면서 개별 금융회사의 보안 사고를 넘어 그룹 전체의 정보보호 관리체계에 대한 점검이 요구되고 있다.

8일 금융권에 따르면 미래에셋그룹의 해킹 피해는 지난달 26일 미래에셋생명에서 시작됐다. 이후 미래에셋자산운용과 미래에셋에너지인프라자산운용에서 침해 사고가 발생했고, 이달 4일과 5일에는 미래에셋증권에서도 연이어 개인정보 유출이 확인됐다.

이번 사고에서 주목할 부분은 공격받은 시스템의 성격이다. 주식 매매나 자금 이체를 처리하는 핵심 금융거래 시스템이 아니라 고객 인증을 지원하는 모바일 웹 서비스와 임직원들이 사용하는 내부 업무시스템이 공격 대상이 됐다.

미래에셋증권은 지난 4일 모바일 웹의 휴대전화 인증 로그인 서비스에서 외부 침입이 발생해 고객 약 3800명의 계좌번호가 유출됐다고 밝혔다.

하루 뒤인 5일에는 사내 그룹웨어가 공격받았다. 이 과정에서 퇴직자와 외주 직원을 포함한 약 3만 5250명의 개인정보가 외부로 빠져나간 것으로 파악됐다.

유출된 정보는 주로 이름과 사원번호였으며, 일부 대상자의 이메일 주소와 휴대전화 번호, 암호화된 비밀번호도 포함됐다. 두 사고에서 유출된 정보의 대상자는 합계 약 3만 9050명에 이른다.

특히 그룹웨어에서 유출된 정보에는 현재 근무 중인 직원뿐 아니라 퇴직자와 외주 인력의 정보까지 포함돼 있었다. 기업 내부에서 업무 편의를 위해 보관해 온 개인정보가 외부 공격에 노출된 것이다.

이름과 사원번호는 그 자체로 금융거래를 실행할 수 있는 정보는 아니지만, 다른 개인정보와 결합되면 특정 직원을 사칭하거나 내부 관계자를 대상으로 접근하는 데 악용될 수 있다.

이메일 주소와 전화번호가 함께 유출된 경우에는 실제 회사의 업무 연락처럼 꾸민 피싱이나 악성 프로그램 설치 유도 등의 위험도 발생한다. 암호화된 비밀번호 역시 암호화 방식과 저장 상태에 따라 추가적인 보안 조치가 필요할 수 있다.

미래에셋증권은 현재까지 확인된 금전적 피해는 없다고 설명했다. 다만 개인정보 유출과 실제 금융사기 피해는 발생 시점이 다를 수 있어 유출 정보가 이후 어떤 방식으로 사용되는지도 살펴봐야 한다.

금융권에서는 이번 사고가 특정 계열사 한 곳에서 발생한 문제가 아니라는 점에 주목하고 있다.

보험사와 자산운용사, 증권사는 각각 취급하는 금융상품과 고객정보, 업무시스템이 다르다. 그러나 같은 금융그룹에 속한 회사들이 짧은 기간에 연이어 공격받았다는 사실은 계열사별 보안 점검과 사고 정보 공유가 충분했는지를 확인할 필요성을 제기한다.

동국대학교 국제정보보호대학원의 황석진 교수는 한 계열사에서 발견된 취약점이 다른 계열사에도 존재하는지 철저하게 확인했어야 한다는 취지로 지적했다.

실제로 금융회사는 핵심 거래시스템에 엄격한 보안 절차를 적용하지만, 외부에서 접근할 수 있는 인증 서비스나 사내 협업 시스템 등은 운영 목적과 관리 방식이 서로 다르다.

이러한 시스템이 공격받으면 금융거래 기능이 정상적으로 유지되더라도 고객과 임직원의 개인정보가 유출될 수 있다. 이번 미래에셋증권 사고에서도 공격 대상은 모바일 로그인 서비스와 그룹웨어였다.

다만 네 계열사에서 발생한 사고가 동일한 공격자나 같은 보안 취약점에 의해 이뤄졌는지는 아직 확인되지 않았다. 계열사 간 사고의 연관성을 판단하려면 침입 경로와 사용된 공격 기법, 시스템 접속기록 등에 대한 분석이 필요하다.

미래에셋그룹의 연쇄 해킹은 최근 금융권 전반으로 확산한 사이버 침해 사고와도 맞물려 있다.

금융당국이 지난 3일까지 파악한 자료에 따르면 금융회사 37곳에서 침해 사고가 발생했으며, 유출된 고객정보는 약 47만 건으로 집계됐다.

이후 미래에셋증권에서도 추가 피해가 확인됐다. 기존 금융당국 집계와 이번 사고 사이의 중복 여부 및 최종 유출 규모는 추가 확인이 필요하다.

금융감독원도 금융회사들의 개인정보 보호 책임을 강화하겠다는 방침을 밝혔다.

이찬진 금융감독원장은 최근 잇따른 해킹 사고와 관련해 고객정보 보호에 대한 책임을 금융회사 최고경영자에게 묻겠다는 입장을 제시했다.

금융회사에서 개인정보 보호는 전산 담당 부서만의 업무가 아니라 경영진이 관리해야 할 주요 위험 요소라는 취지다. 특히 여러 계열사를 보유한 금융그룹의 경우 개별 회사의 보안 대응과 그룹 차원의 사고 공유 및 예방 조치가 어떻게 이뤄지는지도 확인 대상이 될 수 있다.

미래에셋증권은 사고 발생 이후 문제가 된 서비스의 접근 경로를 차단하고 비상대응체계를 가동했다. 금융당국과 함께 구체적인 침해 경위와 정보 유출 범위를 조사하고 있다는 설명이다.

회사는 고객과 임직원들에게 미래에셋증권이나 동료 직원을 사칭한 전화, 문자메시지, 이메일 등에 주의해 달라고 안내했다.

특히 개인정보 확인이나 보안 조치를 이유로 인터넷 주소 접속을 요구하거나 인증번호와 비밀번호를 요청하는 연락은 공식 고객센터 등을 통해 진위를 확인해야 한다.

미래에셋증권은 현재까지 금전적 피해가 확인되지 않았다는 입장을 유지하고 있다. 금융당국은 금융권에서 잇따라 발생한 침해 사고와 관련해 정보보호 관리 실태를 점검하고 있으며, 미래에셋증권은 유출 경위와 피해 범위를 조사하고 있다.

정한영 기자