(서울=뉴스1) 김도엽 기자 = 전 금융권을 향한 해킹 사태가 한 달 넘게 이어지는 가운데 고객 예치금까지 제3자에게 빠져나가는 사고가 발생했다. 그간 주민등록번호, 계좌번호 등 고객 정보가 유출된 경우가 대부분이었으나 고객의 원화 자금까지 직접 유출된 건 이번이 처음이다.
인적·물적 능력 등 대형 금융사와 비교해 상대적으로 보안 대응 여력이 떨어지는 온라인투자연계금융업(온투업) 등 중소형 금융사에서 피해 규모가 커질 것으로 예측됐는데 우려가 현실화한 셈이다. 특히 신규 영업을 중단한 업체도 고객자산과 관련 시스템을 계속 관리해야 하는 만큼, 보안 투자 여력이 부족한 영세 온투업체의 관리 공백을 점검해야 한다는 지적이 나온다.
당국은 온투업체 옥석 가리기를 위해 '페업절차'를 마련 중이나 이마저도 1년 넘게 시간이 걸릴 전망이다.
고객 예치금 3억 원 제3자에 유출…원화 피해 첫 사례
3일 금융당국 등에 따르면 금융감독원은 최근 고객 예치금 약 3억 원이 제3자 계좌로 빠져나가는 사고가 발생한 온투업체 '줌펀드'를 상대로 지난달 28일부터 현장점검을 진행 중이다.
앞서 코인거래소 프라뱅에서 1억 원의 가상자산이 유출된 사고가 있었으나 고객 원화 자산이 유출된 건 이번이 처음이다.
이번 사고는 고객자금을 별도로 보관하는 예치기관이 아닌 온투업체의 전산 시스템에서 시작된 것으로 파악됐다. 고객자금 자체는 예치기관에 보관돼 있었지만 자금 지급을 요청하는 온투업체의 전산 시스템이 모두 침해되면서 실제 자금 탈취로 이어진 셈이다.
해커가 줌펀드 서버에 비인가 접근한 뒤 비정상적인 자금 이체 요청했고 예치기관이 해당 요청에 따라 고객 예치금을 제3자 계좌로 오지급한 것이다.
금감원은 비정상 자금 이체 요청 및 처리로 보면서도 실제 자금 유출이 발생한 점을 심각하게 보고 해커의 침입 경로와 비정상 이체 요청이 이뤄진 과정, 예치기관의 지급 승인 절차 등을 모두 살피고 있는 것으로 알려졌다.
보안 능력 떨어지는 중소형 금융사 피해 확대 현실화
금융권에 대한 전방위적 해킹 공격으로 현재까지 유출된 항목은 주로 고객 정보였다. 고객명, 생년월일, 암호화된 고유식별정보(주민등록번호 등), 성별, 계좌번호, 퇴직연금 정보, 임직원 개인정보 등이 각 금융사를 통해 여러 차례 유출됐으나, 현재까지 2차 피해까지는 이어지지 않았다는 것이 금융당국의 점검 결과다.
이번 사건의 경우 금융사로부터 탈취한 정보를 활용한 '2차 피해'인지 여부는 밝혀지지 않았으나, 금융소비자가 원화 손실을 떠안은 최초 사례로 기록됐다.
문제는 해당 사고가 현재는 영업하지 않는 소규모 금융사에서 발생한 점이다. 은행 등 보안 인력과 관련 투자 여력이 상대적으로 부족한 중소형 금융사가 공격 대상이 됐다는 점에서 보안 취약점 관리에 대한 전반적인 점검이 필요하다는 지적이다.
실제로 '금융보안원 사원명단'에 따르면 금융보안원 회원사 명단(233곳) 중 온투업체는 한 곳도 없었다. 금융보안원 가입 자체가 법적 의무는 아니지만, 수억 원이 들어가는 금보원 가입 비용 부담이 중소형 금융사의 참여를 가로막으며 보안 대응 여력이 더 취약하다. 이 때문에 금융권 공동 대응체계 참여율마저 낮다.
당국은 위협정보 공유·공동 대응 등에 소홀한 금융사에 대해 관련 법령에 따라 엄정 대응하겠다고 경고했으나, 줌펀드와 같이 현재 영업을 하지 않는 금융사는 해킹 사각지대로 남을 수밖에 없다는 우려가 현실화됐다.
특히 오지급을 방지하기 위한 예치기관의 추가 확인 의무 역시 새로운 문제로 제기됐다. 현행 온투업법 및 전자금융거래법상 업체의 지급 요청에 예치기관이 추가 확인할 의무가 없으며, 제재 또한 받지 않는다.
아울러 줌펀드와 같이 영업하지 못하지만 '금융업 라이선스'를 가진 업체에 대한 옥석가리기의 필요성이 시급해졌다.
다만 이는 온투업법 개정이 필요한 사안이라 물리적 시간이 필요하다.
앞서 지난 9월 금융당국은 경영상황의 급격한 악화 등으로 잔여채권 정리 등 청산절차가 실질적으로 작동하지 않는 사례가 발생하고 있다며 '온투업자의 원활한 폐업절차' 마련에 나선 바 있다. 현재는 자기자본 미달 등 등록취소 대상에 해당하더라도 이용자 보호 장치 미비로 신속한 퇴출이 어렵다.
당국은 내년 4분기 중에서야 법 개정 사안이 시행될 수 있다고 내다봤다. 4분기까지 1년이 남았으나 그사이 정리되지 못한 온투업체에서 추가 사고가 발생할 가능성을 배제할 수 없는 셈이다.
금융권 침해사고 현재까지 총 21곳으로 확대
한편 줌펀드 사례를 더하면 현재까지 침해사고가 발생한 금융사는 총 21곳이다.
지난 9월 말 은행권에서 시작된 침해사고는 저축은행과 캐피탈, 상호금융, 온라인투자연계금융업(온투업), 전자금융업, 가상자산업계에 이어 보험·금융투자업계까지 확산했다.
업권별로는 은행 4곳(KB국민·신한·하나·BNK부산), 저축은행 4곳(OK·웰컴·DB·예가람), 상호금융 1곳(새마을금고), 온투업 2곳(모우다·PFCT), 전자금융업 1곳(브라이트픽스), 가상자산사업자 3곳(빗썸·스트리미·프라뱅), 여신전문금융업 2곳(현대·산은캐피탈), 보험 1곳(미래에셋생명), 금융투자업 2곳(대신증권·미래에셋자산운용) 등이다. 여기에 줌펀드까지 합하면 총 21곳이다.
금융당국이 지난달 14일 발표한 피해 규모는 금융회사 16곳, 정보 유출 약 10만 건이었다.
이후 대신증권에서 고객 3만 8490명의 개인·신용정보 유출이 추가로 확인됐고 다른 회사에서도 피해 범위에 대한 조사가 이어지며 약 14만 건까지 범위가 확대됐다.
인적·물적 능력 등 대형 금융사와 비교해 상대적으로 보안 대응 여력이 떨어지는 온라인투자연계금융업(온투업) 등 중소형 금융사에서 피해 규모가 커질 것으로 예측됐는데 우려가 현실화한 셈이다. 특히 신규 영업을 중단한 업체도 고객자산과 관련 시스템을 계속 관리해야 하는 만큼, 보안 투자 여력이 부족한 영세 온투업체의 관리 공백을 점검해야 한다는 지적이 나온다.
당국은 온투업체 옥석 가리기를 위해 '페업절차'를 마련 중이나 이마저도 1년 넘게 시간이 걸릴 전망이다.
고객 예치금 3억 원 제3자에 유출…원화 피해 첫 사례
3일 금융당국 등에 따르면 금융감독원은 최근 고객 예치금 약 3억 원이 제3자 계좌로 빠져나가는 사고가 발생한 온투업체 '줌펀드'를 상대로 지난달 28일부터 현장점검을 진행 중이다.
앞서 코인거래소 프라뱅에서 1억 원의 가상자산이 유출된 사고가 있었으나 고객 원화 자산이 유출된 건 이번이 처음이다.
이번 사고는 고객자금을 별도로 보관하는 예치기관이 아닌 온투업체의 전산 시스템에서 시작된 것으로 파악됐다. 고객자금 자체는 예치기관에 보관돼 있었지만 자금 지급을 요청하는 온투업체의 전산 시스템이 모두 침해되면서 실제 자금 탈취로 이어진 셈이다.
해커가 줌펀드 서버에 비인가 접근한 뒤 비정상적인 자금 이체 요청했고 예치기관이 해당 요청에 따라 고객 예치금을 제3자 계좌로 오지급한 것이다.
금감원은 비정상 자금 이체 요청 및 처리로 보면서도 실제 자금 유출이 발생한 점을 심각하게 보고 해커의 침입 경로와 비정상 이체 요청이 이뤄진 과정, 예치기관의 지급 승인 절차 등을 모두 살피고 있는 것으로 알려졌다.
보안 능력 떨어지는 중소형 금융사 피해 확대 현실화
금융권에 대한 전방위적 해킹 공격으로 현재까지 유출된 항목은 주로 고객 정보였다. 고객명, 생년월일, 암호화된 고유식별정보(주민등록번호 등), 성별, 계좌번호, 퇴직연금 정보, 임직원 개인정보 등이 각 금융사를 통해 여러 차례 유출됐으나, 현재까지 2차 피해까지는 이어지지 않았다는 것이 금융당국의 점검 결과다.
이번 사건의 경우 금융사로부터 탈취한 정보를 활용한 '2차 피해'인지 여부는 밝혀지지 않았으나, 금융소비자가 원화 손실을 떠안은 최초 사례로 기록됐다.
문제는 해당 사고가 현재는 영업하지 않는 소규모 금융사에서 발생한 점이다. 은행 등 보안 인력과 관련 투자 여력이 상대적으로 부족한 중소형 금융사가 공격 대상이 됐다는 점에서 보안 취약점 관리에 대한 전반적인 점검이 필요하다는 지적이다.
실제로 '금융보안원 사원명단'에 따르면 금융보안원 회원사 명단(233곳) 중 온투업체는 한 곳도 없었다. 금융보안원 가입 자체가 법적 의무는 아니지만, 수억 원이 들어가는 금보원 가입 비용 부담이 중소형 금융사의 참여를 가로막으며 보안 대응 여력이 더 취약하다. 이 때문에 금융권 공동 대응체계 참여율마저 낮다.
당국은 위협정보 공유·공동 대응 등에 소홀한 금융사에 대해 관련 법령에 따라 엄정 대응하겠다고 경고했으나, 줌펀드와 같이 현재 영업을 하지 않는 금융사는 해킹 사각지대로 남을 수밖에 없다는 우려가 현실화됐다.
특히 오지급을 방지하기 위한 예치기관의 추가 확인 의무 역시 새로운 문제로 제기됐다. 현행 온투업법 및 전자금융거래법상 업체의 지급 요청에 예치기관이 추가 확인할 의무가 없으며, 제재 또한 받지 않는다.
아울러 줌펀드와 같이 영업하지 못하지만 '금융업 라이선스'를 가진 업체에 대한 옥석가리기의 필요성이 시급해졌다.
다만 이는 온투업법 개정이 필요한 사안이라 물리적 시간이 필요하다.
앞서 지난 9월 금융당국은 경영상황의 급격한 악화 등으로 잔여채권 정리 등 청산절차가 실질적으로 작동하지 않는 사례가 발생하고 있다며 '온투업자의 원활한 폐업절차' 마련에 나선 바 있다. 현재는 자기자본 미달 등 등록취소 대상에 해당하더라도 이용자 보호 장치 미비로 신속한 퇴출이 어렵다.
당국은 내년 4분기 중에서야 법 개정 사안이 시행될 수 있다고 내다봤다. 4분기까지 1년이 남았으나 그사이 정리되지 못한 온투업체에서 추가 사고가 발생할 가능성을 배제할 수 없는 셈이다.
금융권 침해사고 현재까지 총 21곳으로 확대
한편 줌펀드 사례를 더하면 현재까지 침해사고가 발생한 금융사는 총 21곳이다.
지난 9월 말 은행권에서 시작된 침해사고는 저축은행과 캐피탈, 상호금융, 온라인투자연계금융업(온투업), 전자금융업, 가상자산업계에 이어 보험·금융투자업계까지 확산했다.
업권별로는 은행 4곳(KB국민·신한·하나·BNK부산), 저축은행 4곳(OK·웰컴·DB·예가람), 상호금융 1곳(새마을금고), 온투업 2곳(모우다·PFCT), 전자금융업 1곳(브라이트픽스), 가상자산사업자 3곳(빗썸·스트리미·프라뱅), 여신전문금융업 2곳(현대·산은캐피탈), 보험 1곳(미래에셋생명), 금융투자업 2곳(대신증권·미래에셋자산운용) 등이다. 여기에 줌펀드까지 합하면 총 21곳이다.
금융당국이 지난달 14일 발표한 피해 규모는 금융회사 16곳, 정보 유출 약 10만 건이었다.
이후 대신증권에서 고객 3만 8490명의 개인·신용정보 유출이 추가로 확인됐고 다른 회사에서도 피해 범위에 대한 조사가 이어지며 약 14만 건까지 범위가 확대됐다.
※ 저작권자 ⓒ 뉴스1코리아, 무단전재-재배포 금지