대신증권에서 고객 3만8490명의 개인·신용정보가 빠져나간 사실이 드러난 데 이어 미래에셋자산운용과 가상자산거래소 빗썸에서도 외부 침입이 잇따르며 금융권의 보안 불안이 번지고 있다. 핵심 거래 시스템이 아닌 외부 연계 서버와 업무용 시스템까지 표적이 되면서 금융회사 전반의 보안관리 수준을 끌어올려야 한다는 목소리가 커진다.

28일 금융투자업계에 따르면 대신증권은 17일 투자일임 비대면 증권계좌 개설과 연계된 서버에서 이상 외부 접근 징후를 감지했다. 회사는 공격에 쓰인 인터넷주소(IP) 등을 막고 관계당국에 신고한 뒤 금융보안원과 함께 정상 요청으로 꾸민 신호 6만여 건을 들여다봤고, 26일 고객정보가 새나간 것을 확인했다.

빠져나간 정보는 고객명·이메일·주소·통신 ID·은행명·입출금 계좌번호·대신증권 종합계좌번호·휴대전화번호 등 8개 항목이다. 이 가운데 계좌번호와 휴대전화번호를 비롯한 일부는 암호화돼 있었다. 대신증권은 핵심 업무시스템이 불법으로 뚫리거나 2차 피해가 생긴 정황은 지금까지 발견되지 않았다고 설명했다.

미래에셋자산운용 역시 최근 일부 웹시스템에 외부 IP가 비정상적으로 접근해 정보가 새나간 것을 파악했다. 회사는 곧바로 접근 경로를 끊고 금융당국에 신고했으며 웹 애플리케이션 방화벽(WAF)을 통한 차단과 취약 기능 중단 등에 나섰다. 지금까지 드러난 유출은 일반 업무용 시스템 관련 정보이며 서버·데이터베이스 직접 침투 흔적은 나오지 않았다. 주민등록번호 같은 고유식별정보나 민감정보, 개인신용정보가 유출된 정황도 없는 것으로 전해졌다. 회사는 외부 보안 전문기관과 함께 사고 원인과 영향 범위를 살피고 있다.

빗썸은 27일 사내 모바일 그룹웨어에 허가받지 않은 외부 접근이 이뤄져 개인정보가 유출된 것을 알아차렸다. 빗썸은 관계기관에 신고하고 유출 규모·범위를 확인하고 있으며 거래소 회원정보 포함 여부는 아직 드러나지 않았다.

금융당국도 연이은 사고에 경계심을 드러냈다. 이찬진 금융감독원장은 같은 날 8대 은행지주 이사회 의장들과 만난 간담회에서 “어제는 모 주요 금투사 쪽에서 전반적으로 지금 해킹 사고가 발생한 것으로 알고 있다”고 말했다. 최근 금융회사 침해사고를 두고는 “사이버 공격의 방식이 나날이 고도화되는 가운데 공격대상이 비핵심시설로 확대되는 등 전방위적 양상을 보이고 있다”고 평가했다.

이 원장은 AI(인공지능)를 이용한 해킹으로 보안 취약점을 찾아내고 여러 곳을 동시에 공격하는 일이 일상화될 수 있다고 경고했다. 그러면서 금융회사가 스스로 취약점을 발굴해 없애는 자율 방어체계를 갖춰야 한다고 했다.

그는 “IT보안을 부수적 업무로 간주하여 규제 요구 사항만을 형식적으로 준수하거나, IT보안 투자를 ‘비용’으로 인식하여 충분한 인력과 자원을 투입하지 않는 행태가 더 이상 반복되어서는 안 될 것”이라고 강조했다. 이어 IT보안이 고객 재산·정보 보호와 금융 신뢰를 떠받치는 핵심 업무인 만큼 이사회가 보안 역량을 키우는 데 앞장서 달라고 요청했다.

금융권에선 유출된 개인정보로 인한 2차 피해를 걱정하는 목소리도 높다. 당장 금전 피해가 드러나지 않았더라도 빠져나간 정보가 금융회사를 사칭한 피싱 등에 이용될 수 있는 만큼 피해 범위를 빨리 파악하고 고객 보호 조치를 서둘러야 한다는 것이다.