금융권 연쇄 해킹 사태로 온라인투자연계금융업체(온투업체) 두 곳에서 1만 9000여 명의 개인정보가 유출된 것으로 드러났다. 특히 이들 업체는 주요 시중은행보다 먼저 공격을 받은 것으로 확인돼 금융권 전반의 보안 대응체계에 대한 점검 필요성이 제기된다.
20일 국회 정무위원회 소속 신동욱 국민의힘 의원이 금융감독원으로부터 제출받은 자료에 따르면 온라인투자연계금융업체(온투업체) 피에프씨테크놀로지스(PFCT)와 모우다에서 발생한 개인정보 유출 피해자는 총 1만 9214명으로 잠정 집계됐다. 업체별로는 모우다 1만 8900명, PFCT 314명이다. 금융당국이 정확한 피해 규모를 조사하고 있어 최종 집계 결과는 달라질 수 있다.
특히 두 업체는 기존에 알려진 은행권 침해사고보다 먼저 해킹 공격을 받은 것으로 확인됐다. PFCT는 지난달 27일 오전 3시 29분부터 4시 34분까지 약 1시간 동안 공격을 받았으며 모우다도 같은 날 오전 11시 54분께 공격 대상이 됐다. 이는 같은 날 오후 11시 19분께 해킹 공격을 받은 KB국민은행보다 각각 약 19시간 50분, 11시간 25분 앞선 시점이다.
PFCT에 대한 공격은 서버 측 템플릿 주입(SSTI) 취약점을 악용해 투자 서비스의 관리자 기능에 접근하는 방식으로 이뤄졌다. 이 과정에서 회원들의 주민등록번호 등 개인정보가 유출된 것으로 파악됐다. PFCT는 공격 당일 침해 사실을 인지하고 다음 날인 28일 금융당국에 신고했다.
모우다의 경우 공격자가 여러 인터넷주소(IP)를 경유해 웹사이트의 보안 취약점을 공략한 것으로 조사됐다. 모우다는 28일 침해 정황을 확인한 뒤 29일 오후 개인정보보호위원회와 한국인터넷진흥원(KISA)에 사고를 신고했다.
금융회사별 공격 경로에서도 일부 유사성이 발견됐다. 신한은행과 국민은행 등에 대한 해킹에 활용된 IP 가운데 일부가 겹치는 것으로 알려졌다. 동일한 해킹 조직이 여러 금융회사를 연속적으로 공격했을 가능성을 배제할 수 없다는 의미다. 다만 해커가 우회 접속에 사용하는 IP는 여러 공격자 사이에서 공유될 수 있어 정확한 연관성은 추가 조사가 필요한 상황이다.
금융당국에 따르면 이번 연쇄 침해사고와 관련해 피해가 확인된 금융회사는 총 16곳이다. 은행을 비롯해 저축은행과 캐피탈사, 상호금융회사, 온투업체, 가상자산사업자 등 다양한 업권에서 피해가 발생했다.
현재까지 파악된 개인정보 유출 인원은 예가람저축은행이 4만 2926명으로 가장 많다. 신한은행에서도 2만 5729명의 정보가 유출됐으며 모우다가 1만 8900명으로 뒤를 이었다. 이 밖에 웰컴저축은행 2117명, OK저축은행 518명, 새마을금고 400여 명 등의 피해가 확인됐다. 금융권 전체 유출 인원은 약 10만 명에 이르는 것으로 추산된다.
일각에서는 추석 연휴 기간 금융회사들이 잇따라 공격받았다는 점에서 휴일 보안 대응체계의 허점이 드러났다는 지적이 나온다. 특히 대형 은행보다 정보보호 인력과 예산 확보가 어려운 중소형 금융회사의 경우 시스템 취약점 관리와 이상 접속 탐지 기능을 강화해야 한다는 목소리가 높아지고 있다.