상시평가 시스템 취약점 악용해 금감원 권한 가진 ‘허위 계정’ 생성... “금감원 크리덴셜 유출은 아냐”
평가 결과 개인정보 마스킹해 제출하지만... 관리체계 미흡한 소규모 금융사 데이터 평문 노출 우려

금융보안원 상시평가 시스템에 접근해 정보를 빼돌린 해커는 시스템 취약점을 악용해 금융감독원 권한을 가진 ‘허위 계정’을 생성, 위장해 침투한 것으로 11일 드러났다. 

유출된 정보는 200여건의 행정서식이며 대부분 비식별화(마스킹) 조치가 완료된 정보지만, 일부 데이터는 마스킹되지 않은 채 공유돼 개인정보가 평문으로 노출됐을 가능성도 나왔다. 

▲11일 서울 여의도 금융투자센터빌딩 로비의 금용보안원 여의도사무소 안내 문구 [출처: 연합]

금융보안원 상시평가 시스템은 금융사들이 고객 신용 정보를 제대로 관리하고 있는지 평가한다. 각 금융사가 평가 결과와 증적을 제출하면 평가가 이뤄지는 식이다. 금융감독원도 이 자료를 열람할 필요가 있기 때문에 시스템에 접근 가능했다. 이에 해커가 금융감독원 권한을 가진 허위 계정을 생성해 접근했을 때 정보가 노출될 수 있었던 것이다. 

다만 금융감독원의 크리덴셜(접근권한 혹은 계정정보)이 유출되지는 않았다는 설명이다. 금융보안원 관계자는 “금융감독원 크리덴셜이 유출된 것은 아니다”라며 “허위 계정을 생성할 수 있는 시스템상 취약점을 악용한 것으로 보인다”고 설명했다. 

금융회사가 상시평가 시스템에서 평가 결과를 제출하기 위해 접근할 때 문자메시지(SMS) 인증 등 인증 절차가 필요한데, 인증이 작동하지 않을 때를 대비한 임시 페이지를 노렸다는 주장도 보안업계 안팎으로 제기됐다. 이와 관련 금융보안원은 “임시 페이지를 타고 침투했다는 얘기가 나오고 있지만 추가 조사 결과가 나와야 한다”는 입장이다. 정확한 침투 경로는 확정되지 않았다는 말이다. 

앞서 10일 금융보안원은 이번 침해 사고로 유출된 정보가 개인신용정보 동의서 샘플 등 행정 서식 약 200건이라고 밝힌 바 있다. 이 행정서식에 기재된 이름, 생년월일 등의 개인정보 300여건, 마스킹된 이름이나 마스킹된 휴대전화번호 등 시스템 이용자 정보 350여건도 유출된 것으로 확인됐다. 

행정서식에 기재된 내용은 대부분 마스킹 처리가 된 상태다. 하지만 일부 소규모 금융사의 경우 개인정보 관리 체계가 제대로 갖춰져 있지 않다 보니, 마스킹되지 않은 정보를 그대로 기재해 금융보안원에 제출한 경우도 확인됐다. 해커가 탈취한 데이터 중 일부는 개인정보가 마스킹되지 않은 채 노출됐을 수 있다는 것이다. 

금융보안원 관계자는 “상시평가 시스템에 각 금융사 보안 관련 데이터를 일부 올리기는 하지만 이번에 유출된 데이터는 개인신용정보 이용 동의서를 제대로 받고 있는지에 대한 증적 자료, 광고성 정보 전성 관련 샘플이나 금융 거래 내역서 샘플 같은 데이터”라며 “이같은 행정 서식들도 개인정보의 경우 전부 마스킹해서 받고 있는데, 소규모 금융사는 마스킹을 하지 않고 올린 경우가 있다 보니 이름 등 개인정보가 그대로 노출된 경우도 있을 것”이라고 말했다. 

이 관계자는 이어 “유출된 정보 중 금융사 시스템 구성도, 보안 정보, 주민등록번호 등 민감 정보는 포함돼 있지 않다”며 “공격 징후를 포착하고 빠르게 상시평가 시스템을 차단했으나 일부 데이터가 빠져 나간 상황”이라고 설명했다. 

금융보안원은 이번 침해사고 확인 즉시 금융위원회와 한국인터넷진흥원(KISA)에 신고했다. 추가 정보 유출을 막기 위한 긴급 보안조치와 사고 원인 및 피해 범위에 대한 정밀 조사도 진행 중이다. 금융위원회가 금융보안원 현장 조사에 착수, 조사하고 있는 것으로 확인됐다. 

금융보안원은 “금융보안 전문기관으로서 높은 수준의 보안과 신뢰를 유지해야 함에도 이번 사고로 금융사와 국민 여러분께 심려를 끼쳐드린 점에 대해 진심으로 사과드린다”며 “신뢰가 생명임에도 불미스러운 일이 발생해 송구하며 이번 사고를 엄중하게 받아들이고 환골탈태한다는 각오로 정보보호체계 전반을 철저히 점검하고 개선해 신뢰를 회복하는 데 최선을 다하겠다”고 밝혔다. 

출처 : 보안뉴스(https://www.boannews.com)