대신증권과 미래에셋자산운용에서 해킹 및 고객 정보 유출 사고가 잇따라 드러났다.
금융당국과 금융투자업계에 따르면 28일 두 회사의 전산 침해 정황이 확인됐다. 이찬진 금융감독원장은 이날 서울 여의도 본원에서 열린 은행지주 이사회 의장 조찬 간담회에서 전날 주요 금융투자사 쪽에서 전반적인 해킹 사고가 발생한 것으로 안다며 경고음을 울렸다.
대신증권은 지난 17일 투자일임 비대면 증권계좌개설 연계 서버에서 해커의 비정상적인 접근 징후를 감지한 뒤 금융보안원과 전수조사를 거쳐 26일 고객 3만8490명의 개인신용정보 유출을 최종 확인했다고 28일 밝혔다. 유출 항목은 성명, 이메일, 주소, 통신사 식별값, 은행 계좌번호 등 총 8개다.
국내 최대 자산운용사인 미래에셋자산운용에서도 전산 시스템 침해 정황이 드러나 금융당국이 긴급 대응에 돌입했다.
해커 조직들은 본점 메인 코어뱅킹망을 정면으로 타격하는 대신 비대면 계좌개설 연계망, 외부 제휴 채널, 외부 위탁 관리 서버 등 감시가 소홀한 주변부 접점을 집중적으로 파고들었다. 중국계 인공지능(AI) 침투 도구와 다크웹 기반 공격 기법이 결합되면서 취약점을 자동으로 스캔하고 수만 건의 정상 거래 신호로 위장해 침투했다.
금융투자사들의 방어 체계는 비정상 접근이 발생한 지 열흘이 지나서야 유출 규모를 파악할 정도로 굼떴다.
이러한 지연 대응의 배경에는 금융투자업계의 만성적인 정보보호 투자 홀대가 자리 잡고 있다. 올해 상반기 기준 국내 10대 증권사의 정보보호 담당 인력은 131명으로 회사당 평균 13명 수준에 머물렀다. 전체 정보기술(IT) 인력 중 정보보호 인력 비중은 6년째 9%대에서 제자리걸음을 반복했다.
이번에 사고가 난 대신증권은 정보보호 인력이 5명에서 4명으로 오히려 줄었다. 증시 변동성과 신규 금융상품 출시로 일평균 거래대금이 급증하는 사이 IT 투자금액 증가율은 거래대금 증가율의 절반에도 못 미쳤고 보안 투자는 늘 후순위로 밀려났다.
문제는 벤처캐피털과 사모펀드, 액셀러레이터 등 신생 투자 기관과 스타트업 생태계로 번질 2차 충격이다. 자체 전산 보안 인력을 꾸리기 어려운 중소형 벤처투자업계는 해킹 위험에 무방비로 노출돼 있다. 앞서 중소형 사모운용사 10여 곳 이상이 전산 외주업체의 랜섬웨어 감염으로 내부 투자 심사 보고서, 법인 실소유자 확인서, 실계좌 정보까지 다크웹에 유출됐다.
대형 운용사와 증권사의 망이 뚫려 주요 법인 및 벤처 투자 계좌 정보가 노출될 경우 신생 벤처기업들의 주주명부나 계좌 정보, 자금 집행 내역이 금융사기와 탈취 표적이 될 위험은 상존한다.
해킹을 당한 금융투자사들은 핵심 거래 시스템에 대한 직접적 접근이나 자금 탈취 등 2차 피해는 발생하지 않았다고 해명했다. 그러나 이름과 주소, 통신 식별값과 계좌번호가 한꺼번에 유출된 이상 이를 조합한 보이스피싱, 명의도용 대출, 비대면 무단 거래 시도 가능성을 완전히 차단하기는 어렵다.
금융당국은 금융사 최고경영자에게 보안 책임을 직접 묻고 정보기술 자산에 대한 전산 관리 의무화를 추진하겠다고 밝혔다. 다만 규제 완화와 혁신 금융이라는 명분 아래 외부 연계 서비스와 오픈 API를 늘려놓고도 이를 감시할 인력과 투자 기준은 강제하지 않았다는 점에서 뒷북 대책이라는 비판을 피하기 어렵다.
국회에 계류 중인 전자금융거래법 개정안의 통과 여부와 함께 금융투자회사들이 외부 위탁·연계 서버 전반을 어디까지 재구축할 수 있을지가 향후 금융 신뢰 회복의 시험대가 될 전망이다.
