예가람저축은행에서 무엇이 유출됐나요?

고객 성명, 생년월일, 연락처 등이 약 4만명 규모로 유출된 것으로 추정된다. 은행은 9월 30일 고객정보가 포함된 서버에 해커가 접근한 정황을 확인했다고 밝혔으며, 정확한 규모는 계속 확인 중이다.

4일 긴급 회의에서는 무엇을 논의하나요?

이억원 금융위원장이 주재하고 이찬진 금융감독원장이 참석해 은행·금융투자·보험·여전·저축은행·상호금융·가상자산·핀테크 등 전 업권 협회장과 침해사고 금융사 CEO가 모인다. 금융권 보안사고 동향을 점검하고 대응방안을 논의한다.

당국은 보고된 건 외에 다른 업권에서 추가 확인될 가능성을 배제하지 않고 있다. 실제로 새마을금고중앙회와 농협 상호금융에도 접근 시도가 있었던 것으로 알려졌다. 다만 증권·보험·카드업권과 국책은행에서는 아직 동일한 공격 흔적이 확인되지 않았다.

2금융권은 시중은행을 제외한 저축은행·캐피털·보험·상호금융 등을 아우르는 영역을 가리키는 말로, 이번 해킹 피해가 이 영역까지 번진 점이 사태의 새로운 국면이다. 당국의 대응도 속도를 내고 있다.

예가람저축은행은 9월 30일 고객의 개인정보가 포함된 서버에 신원 미상의 해커가 접근해 정보가 유출된 정황을 확인했다고 홈페이지를 통해 밝혔다. 유출 항목은 성명·생년월일·연락처 등이며 규모는 약 4만명으로 추정된다.

현대캐피탈에서는 주택대출 모집인 146명의 이름·연락처·이메일·주민등록번호 일부가 빠져나갔다. 앞서 신한·KB국민·하나·BNK부산은행에 이어 저축은행과 캐피털까지 피해 기업이 늘어선 셈이다.

예가람저축은행은 유출 인지 즉시 관련 서비스 중단과 외부 IP 차단 등 긴급조치를 마쳤고 24시간 안에 당국 신고도 마쳤다. 피해 고객 안내 문자 발송과 고객센터 피해구제 절차도 운영 중이다.

공격의 공통점은 고객용 시스템이 아니라 직원용·비중요 업무 지원 시스템의 빈틈을 노렸다는 점이다. 신한은행에서는 대출모집인용 조회 서비스가 유출 경로로 쓰였고, 공격은 약 30시간 이어지며 개인정보 2만5천727건이 빠져나갔다.

KB국민은행은 직원용 모바일 업무 시스템을 통해 임직원 20명의 정보와 고객 정보 등 153건이 유출됐다. 해커는 한국과 미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 나라의 IP를 번갈아 사용한 것으로 파악됐다.

당국은 특정 회사를 겨냥한 공격이 아니라 AI로 무작위 공격을 하다 취약한 금융사가 노출된 것으로 보고 있다. 공격 시간대와 수법이 비슷해 동일 세력일 가능성이 크지만 일부 공격에는 AI가 쓰이지 않는 등 차이가 있어 주체 규명에는 시간이 걸릴 전망이다.

금융위원회는 4일 오후 정부서울청사에서 전체 금융업권 협회장과 침해사고 발생 금융사 CEO를 모아 긴급 점검회의를 연다. 이억원 금융위원장이 직접 주재하고 이찬진 금융감독원장이 참석해 금융권을 덮친 해킹 공격 대응에 총력을 쏟는 모양새다.

원래 계획은 달랐다. 금융위는 연휴가 끝나는 5일까지 각 금융사가 자체 점검을 마치고 7일 결과를 보고하는 것이었다. 그러나 현대캐피탈과 예가람저축은행 피해가 주말 사이 추가되며 불안감이 커지자 일정을 앞당긴 것으로 보인다.

은행·여전·저축은행 등 이미 유출이 확인된 업권 너머 보험·상호금융, 나아가 가상자산·핀테크까지 회의에 호출한 것도 같은 맥락으로 풀이된다. 다른 업권에서 추가 피해가 나올 가능성을 배제하지 않는다는 당국의 판단이 깔려 있다.

새마을금고중앙회는 신한은행에서 개인정보를 빼낸 것과 동일한 공격자 IP의 접근 시도를 확인했지만 자체 보안 장비로 차단해 유출 피해는 입지 않았다. NH농협은행과 망을 공유하는 농협 상호금융에도 침입 시도가 있었으나 방어에 성공했다.

금융권 핵심 관계자는 정보 유출이 없었더라도 공격을 받으면 당국에 신고해야 한다며 이번에 공격 시도를 받은 금융회사는 알려진 것보다 훨씬 많을 수 있다고 지적했다. 증권·보험·카드업권과 IBK기업은행·수출입은행 등에서는 아직 동일한 흔적이 확인되지 않았다.

정보가 유출된 일부 은행은 보안 취약성이 드러난 위성 사이트 운영을 한시적으로 중단하고 피해 발생 시 전액 보상하겠다고 안내했다. 고객 신고 창구를 열어두고 2차 피해 가능성을 주시하는 중이다.

더 큰 그림의 변화도 준비된다. 당국 안팎에서는 AI로 취약점을 찾아 공략하는 신종 수법을 개별 회사의 기존 보안 역량으로 막기 어렵다는 진단이 나온다. 금융권 보안체계를 어느 수준까지 개편할지 논의가 시작된 상태다.

망분리 규제 완화에도 속도가 붙을 전망이다. 당국은 AI 공격을 AI로 방어할 수 있도록 대응 역량을 갖춘 금융사에는 망분리 규제 전면 해제가 필요하다는 입장이며, 6월부터 진행 중인 규제 완화 테스트의 2차 참여사는 7일 선정된다.