은행·보험사 등 200여 곳 회원 둔 금보원도 해킹 사고

최근 금융권서 사이버보안 침해사고가 잇달고 있는 가운데 은행, 보험사 등 200여 금융사를 회원으로 둔 금융감독원 산하 비영리기관인 금융보안원(금보원)도 해킹 공격을 받아 일부 정보가 외부로 유출됐다.

이번 사고로 개인신용정보 동의서 샘플 등 행정서식 약 200건, 행정서식에 포함된 이름, 생년월일 등의 개인정보 300여건, 시스템 이용자 정보(마스킹된 이름, 마스킹된 휴대전화번호, 이메일 등) 350여건이 유출된 것으로 확인됐다.

이날 금융당국 등에 따르면 금보원은 전날 해킹 공격으로 정보 일부가 유출된 사실을 인지하고 금융위원회 등 당국에 신고했다. 해킹 대상은 금융보안원의 정보보호 상시평가 사이트다.

이 사이트는 국내 금융회사들이 보유 및 관리하는 개인신용정보의 보호 수준을 자체 점검하고, 그 결과를 제출하는 금융권 전용 평가 시스템이다. 즉, 은행·보험사·카드사·저축은행 등 금융회사들이 고객의 신용정보를 얼마나 안전하게 관리하고 있는지 확인하기 위한 온라인 평가 및 보고 플랫폼이다. 어제(9일) 오후 6시부터 가동이 중단됐다. 사이트에는 "홈페이지 서비스 개편을 위해 서버가 일시 중단된다"고 고지됐다.

사고와 관련, 금보원은 10일 오후 10시 45분경 기자들에게 자료를 배포했다. 이에 따르면, 금보원은 지난 9일 15시경 금융회사 평가를 지원하는 상시평가 시스템에서 외부의 비정상적인 접근을 통한 정보유출 사실을 확인했고, 즉시 해당 시스템의 접속을 차단하는 등 긴급 대응조치를 실시했다. 다만, 신속한 대응에도 불구하고 일부 정보가 외부로 유출된 것으로 확인됐다고 밝혔다.

상시평가 시스템은 금융회사가 평가에 필요한 행정서식 등의 자료를 제출하는 시스템으로, 취약점 분석평가 결과 등 보안 사항은 수집하지 않으며 일반 금융고객의 금융거래를 처리하는 시스템은 아니라고 금보원은 설명했다.

또 "현재까지 유출 정보는 개인신용정보 동의서 샘플 등 행정서식 약 200건, 행정서식에 포함된 이름, 생년월일 등의 개인정보 300여건, 시스템 이용자 정보(마스킹된 이름, 마스킹된 휴대전화번호, 이메일 등) 350여건이 유출된 것으로 확인됐다"면서 "확인된 바에 따르면 유출정보는 광고성 이벤트 정보 전송 내역, 동의서 등 행정서식이 대부분으로 금융회사 시스템 구성도 등 보안 정보와 주민등록번호, 개인신용정보 등의 고객민감정보는 유출되지 않았다"고 덧붙였다.

이어 "금융보안원은 사고 확인 즉시 금융위원회와 한국인터넷진흥원에 신고하고, 추가적인 정보유출을 방지하기 위한 긴급 보안조치와 사고 원인 및 피해 범위에 대한 정밀 조사를 진행하고 있다"면서 "관련 금융회사에 정보유출 사실을 개별 안내하였으며, 유출 정보와 관련된 이용자 등 정보주체에게도 유출 사실과 2차 피해 예방을 위한 사항을 신속하게 안내할 계획이다.2차 피해가 발생할 경우 적극 배상할 예정"이라고 밝혔다.

또 현재까지 확인된 정보 외에 추가적인 유출이 있었는지 면밀히 조사하는 한편, 사고 원인을 철저히 규명하고 정보보호 관리체계 전반을 재점검해 근본적인 재발방지 대책을 마련할 예정이라면서 "금융보안 전문기관으로서 높은 수준의 보안과 신뢰를 유지해야 함에도 이번 사고로 금융회사와 국민 여러분께 심려를 끼쳐드린 점에 대해 진심으로 사과드린다. 신뢰가 생명임에도 불미스러운 일이 발생해 송구하며 이번 사고를 엄중하게 받아들이고 환골탈태한다는 각오로 정보보호체계 전반을 철저히 점검하고 개선하여 신뢰를 회복하는 데 최선을 다하겠다”고 전했다.