내 계좌 안전할까…금융권 해킹 도미노, 미래에셋증권도 뚫렸다
미래에셋증권 고객 3800여명 계좌번호·임직원 3.5만명 정보 유출
미래에셋증권 사내 그룹웨어까지 침투…성명·사번·연락처 등 노출
금융당국 집계 금융사 37곳서 침해사고 40건…정보 47만3000건 유출
금융위원회, 가상자산사업자 포함 금융사 580여곳 보안 전수점검
금융권을 겨냥한 사이버 공격이 업권과 계열사를 가리지 않고 확산하고 있다. 은행, 저축은행, 가상자산업계에 이어 보험·자산운용·증권사까지 잇따라 침해사고가 발생하면서 금융사의 보안 관리 체계 전반에 경고등이 켜졌다.
7일 금융투자업계에 따르면 미래에셋증권은 이날 홈페이지를 통해 고객 개인신용정보와 임직원 개인정보 유출 사실을 공지했다.
지난 4일 모바일웹 휴대폰 인증 로그인 서비스에서 비정상 접근이 확인돼 고객 3800여명의 계좌번호가 유출됐다. 이튿날에는 사내 그룹웨어 'mi-global'이 외부 공격을 받아 임직원 개인정보까지 유출된 것으로 파악됐다.
유출 항목에는 성명과 사번, 이메일 주소, 휴대전화번호, 암호화된 비밀번호 등이 포함됐다. 구체적인 유출 항목은 대상자별로 차이가 있다. 다만 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 등 고유식별정보와 민감정보는 유출되지 않았다고 회사 측은 설명했다.
미래에셋그룹을 겨냥한 사이버 공격은 열흘 사이 계열사를 바꿔가며 발생했다.
지난달 26일 미래에셋생명의 고객 청약시스템과 홈페이지 일부가 침해돼 개인신용정보가 유출된 데 이어 같은 달 28일 미래에셋자산운용, 이달 2일 에너지인프라자산운용에서도 외부 침투 시도가 확인됐다. 미래에셋증권까지 포함하면 공격 대상에 오른 계열사는 모두 4곳이다.
미래에셋증권은 정보 유출 사실을 고객들에게 알리고 회사를 사칭한 전화와 문자 등에 주의할 것을 당부했다.
김미섭·허선호 미래에셋증권 대표이사는 공식 사과문을 통해 "소중한 고객 정보를 지키지 못한 점에 대해 깊이 고개 숙여 사과드린다"며 "철저한 원인 규명과 함께 강력한 재발 방지 대책을 마련 중"이라고 밝혔다.
미래에셋증권뿐 아니라 다른 증권사에서도 고객정보 유출 사고가 잇따랐다.
대신증권은 비대면 계좌개설 연계 서버가 침해당해 고객 3만8490명의 정보가 유출됐다고 밝혔다. 한양증권도 지난달 29일 외부 그룹웨어 솔루션을 통한 비정상 접근으로 고객정보 15건을 포함한 총 31건의 정보 유출이 확인됐다. 이 가운데 3건에는 주민등록번호가 포함됐다.
◇ 금융사 37곳서 47만건 유출…일부 업체 자금 10억원 탈취
금융권 해킹 피해는 증권업계를 넘어 은행과 저축은행, 가상자산업계 등으로 확산했다.
금융당국에 따르면 지난 9월 30일부터 이달 3일까지 금융사 37곳에서 총 40건의 침해사고가 신고됐다. 유출된 정보는 47만3000건에 달한다. 업권별로는 전자금융업이 10곳으로 가장 많았으며 금융투자업과 저축은행이 각각 5곳, 은행과 온라인투자연계금융업이 각각 4곳으로 집계됐다. 보험과 가상자산업도 각각 3곳이 피해를 입었다.
일부 소형 가상자산거래소와 전자금융업자, 온투업체에서는 관리 자금 약 10억원이 탈취되는 금전 피해도 발생했다. 다만 계좌 비밀번호 등 부정결제로 직결될 수 있는 정보의 유출은 아직 확인되지 않았다.
◇ 580여개사 전수점검…CEO 책임 강화·망분리 규제 해제
금융위원회는 지난 5일 금융감독원·금융보안원 및 전 금융권 협회장들과 간담회를 열고 보안 강화 대책을 내놨다.
가상자산사업자를 포함한 580여개사를 대상으로 외부 접점과 내부통제 체계를 전수 점검하고, 중대 취약점이 발견되면 해당 서비스를 즉시 차단하도록 했다. 대형 금융사의 취약점 분석·평가를 연 2회로 확대하고 금융권 공동 해킹 관제시스템도 내년 1분기 전 업권으로 넓힌다.
이와 함께 다크웹 개인정보 불법 유통 감시를 상시화하고, 보이스피싱 무과실 배상 책임 법제화와 가상자산사업자·GA·대부업 대상 디지털금융안전법 제정도 추진한다. 망분리 규제는 내년 1분기까지 전면 해제할 계획이다.
금융사 경영진 책임도 무거워진다. 중대한 보안 관리 부실이 드러날 경우 CEO를 포함한 경영진에게 엄정한 책임을 묻겠다는 방침이다.