나흘 새 두 번 뚫린 OK저축은행
금융감독원이 OK저축은행 현장점검에 들어갔습니다. 지난 11일 대출 신청 웹페이지가 공격받아 250명의 이름과 생년월일, 주소, 연소득, 대출금액이 새나갔고, 나흘 뒤인 15일에는 모바일 수신 서비스 홈페이지가 뚫리며 268명의 계좌번호와 잔액, 이율까지 유출됐습니다. 한 건으로 끝나지 않고 나흘 만에 두 번째 침해가 발생했다는 점이 이번 사안의 핵심입니다.
금감원은 16일 2차 해킹을 접수하고 점검에 착수했습니다. 같은 기간 신한은행에서도 약 2만5천 명의 정보 유출이 확인되면서 조사 범위는 순식간에 넓어졌죠. 예가람·웰컴저축은행은 지난 13일부터 현장점검 대상에 올랐고, 정기검사 중이던 KB국민은행은 추가 점검이 병행되고 있습니다.
은행에서 저축은행까지
문제는 OK저축은행 한 곳이 아니라는 겁니다. 금융당국이 전 금융권 555개사를 대상으로 보안 체크리스트를 돌린 결과 130개사가 미흡 판정을 받았습니다. 최신 보안패치 미적용이나 다중인증 미적용, 24시간 보안관제 미구성 같은 항목이 줄줄이 나왔습니다.
실제 피해는 16개 금융회사로 집계됐고, 유출된 개인정보는 약 10만 건에 달합니다. 은행권을 시작으로 저축은행과 캐피탈, 새마을금고중앙회, 가상자산사업자까지 공격이 이어졌습니다. 핵심 거래 시스템이 아니라 대출모집인용 조회 서비스나 직원용 모바일 업무지원 시스템처럼 외부에 열려 있던 통로가 뚫렸다는 점이 눈에 띕니다.
유출된 이름과 연락처, 소득정보가 결합되면 금융회사를 사칭한 피싱이나 맞춤형 금융사기에 악용될 수 있다는 우려도 나옵니다.
취약한 곳부터 손보는 당국
금융위원회는 14일 긴급 회의를 열고 외부와 연결되는 모든 접점을 목록화하고 인증과 접근 권한을 명확히 하라는 방침을 내놨습니다. 금감원도 이번 주 업권 간담회에서 외부 접점 전수점검 계획을 공유하고, 상황에 따라 현장점검을 정식 검사로 전환하는 방안을 검토하고 있습니다.
보안 역량이 약한 중소 금융회사를 위한 지원책도 논의됩니다. 금융보안원은 AI 위협에 대응한 맞춤형 점검 항목과 매뉴얼을 준비 중이고, 대부업이나 보험대리점처럼 전자금융거래법 적용을 받지 않으면서 민감한 개인정보를 보유한 업권에는 별도 규율 체계가 필요하다는 목소리도 나옵니다. 결국 관건은 사후 수습이 아니라 반복되는 침해를 막을 상시 보안 체계를 얼마나 빨리 세우느냐입니다.