금융권 보안 책임지는 금융보안원도 해킹…직원 개인정보 수백건 유출

상시평가 시스템 비정상 접근…행정서식·이용자 정보 노출
보안 전문기관마저 해킹…금융권 정보보호 체계 재점검 필요

금융보안원 로고./금융보안원

금융권 사이버보안을 담당하는 금융보안원이 해킹 공격을 받아 금융사 직원들의 개인정보 등 수백건의 정보가 유출됐다. 현재까지 금융소비자들의 개인 신용정보나 금융사 내부 시스템 관련 보안 정보는 유출되지 않은 것으로 파악됐지만, 금융권의 사이버 위협 대응과 정보보호 업무를 지원하는 전문기관마저 해킹에 뚫리면서 금융권 보안체계 전반에 대한 우려가 커지고 있다.

11일 금융권에 따르면 금융보안원은 지난 9일 오후 3시께 금융회사 평가를 지원하는 '상시평가 시스템'에서 외부의 비정상적인 접근을 통한 정보유출 사실을 확인했다. 금융보안원은 즉시 해당 시스템의 접속을 차단하고 금융위원회와 한국인터넷진흥원(KISA)에 사고를 신고했다.

현재까지 확인된 유출 정보는 개인신용정보 동의서 샘플 등 행정서식 약 200건과 해당 서식에 포함된 이름·생년월일 등 개인정보 300여건이다. 이와 함께 이름과 휴대전화번호 등이 일부 가려진 시스템 이용자 정보 350여건도 유출됐다. 유출된 개인정보는 대부분 금융회사에서 상시평가 업무를 담당하는 직원들의 것으로 파악됐다.

해킹 피해를 입은 상시평가 시스템은 금융회사들이 정보보호 평가에 필요한 행정서식 등의 자료를 제출하는 곳이다. 금융보안원은 해당 시스템이 취약점 분석평가 결과 등 보안정보를 수집하거나 일반 금융고객의 거래를 처리하는 시스템은 아니라고 설명했다.

금융보안원은 현재까지 금융회사 시스템 구성도 등 보안정보와 주민등록번호, 개인신용정보 등 고객 민감정보는 유출되지 않은 것으로 확인했다. 다만 일부 개인정보가 외부로 유출된 만큼 정확한 피해 범위와 추가 유출 여부를 확인하기 위한 정밀 조사가 진행 중이다. 이번 공격은 해커가 인터넷주소(IP)를 수시로 변경하면서 정상적인 접근으로 위장하는 방식으로 이뤄진 것으로 전해졌다.

금융보안원은 피해가 확인된 금융회사에 정보유출 사실을 개별적으로 안내했다. 유출 정보와 관련된 이용자 등 정보주체에게도 사고 내용과 2차 피해 예방을 위한 사항을 통지할 계획이다. 향후 정보유출에 따른 2차 피해가 발생할 경우 적극적으로 배상하겠다는 방침도 밝혔다.

아울러 금융보안원은 추가 정보유출 여부를 조사하는 동시에 사고 원인을 규명하고 정보보호 관리체계 전반을 재점검할 예정이다. 특히 금융권의 사이버위협 대응과 정보보호 업무를 수행하는 전문기관이라는 점에서 자체 보안체계의 취약점을 확인하고 재발 방지 대책을 마련하는 데 집중하겠다는 방침이다.

금융보안원 관계자는 "금융보안 전문기관으로서 높은 수준의 보안과 신뢰를 유지해야 함에도 이번 사고로 금융회사와 국민 여러분께 심려를 끼쳐드린 점에 대해 진심으로 사과드린다"며 "정보보호체계 전반을 철저히 점검하고 개선해 신뢰를 회복하는 데 최선을 다하겠다"고 밝혔다.