소상공인 정산금까지 빠져나갔다
금융권 해킹이 정보 유출을 넘어 실제 자산 탈취 단계로 번지고 있습니다. 전자지급결제대행업체 P사는 지난달 중순 해킹으로 가맹점 정산자금 약 2억 원이 비정상 이체됐다고 신고했는데요. 판매자에게 넘겨줘야 할 돈이 그대로 빠져나간 겁니다.
피해는 한 곳에서 끝나지 않았습니다. 온라인투자연계금융업체 줌펀드에서는 고객 예치금 약 3억 원이 제3자 계좌로 빠져나갔고, 가상자산거래소 프라뱅에서도 1억 원어치 코인이 유출됐습니다. 세 곳의 피해만 합쳐도 약 6억 원에 이릅니다. 한양증권에서도 고객·임직원 정보가 유출됐습니다.
해커들은 외부 결제·송금 요청에 쓰이는 API 연결 통로의 취약점을 노린 것으로 추정됩니다. 줌펀드의 경우 전산 시스템에 침입해 정상 거래처럼 위장한 뒤 은행에 제3자 계좌 이체를 요청했고, 100명이 넘는 고객이 피해를 봤습니다.
영세 업체의 보안 사각지대
주목되는 건 피해 업체들의 규모입니다. 줌펀드는 직원이 10명이 되지 않는 것으로 전해집니다. 국내 P2P 업체는 약 45곳으로 영세한 곳이 많아 보안 투자 여력이 부족하다는 지적이 나옵니다. 투자자 돈을 은행에 분리 보관했지만, 이체 요청 자체를 위조당하면 막기 어렵다는 점이 드러난 겁니다.
당국은 이번 사고가 AI를 활용한 공격인지도 들여다보고 있습니다. 현재까지 활용 흔적은 확인되지 않았고, 기존 해킹 사례와의 연관성이 조사 대상입니다. 빗썸 사고에서는 외부 업무용 프로그램 다우오피스가 침입 통로가 된 것으로 전해졌는데, 관리되지 않는 외부 접점이 반복적으로 허점이 되고 있는 셈입니다.
전 금융권 전수 점검으로
금융감독원은 P사에 대한 현장 점검 기간을 연장하며 추가 확인에 나섰습니다. 이찬진 금감원장은 법인보험대리점과 대부업, 가상자산업, 온투업 등 전자금융거래법 적용을 받지 않는 업권까지 포함해 전 금융권 외부 접점을 전수 점검하겠다고 밝혔습니다.
보완책도 함께 나왔습니다. 금융보안원은 AI 기반 공동 보안 관제 시스템 구축을 검토하고 있고, 금감원은 보안 취약점을 방치한 금융회사에 감독분담금을 더 부과하는 방안을 추진합니다. 사고 대응의 무게중심이 사후 점검에서 상시 관제와 비용 부담으로 옮겨가는 모습입니다. 다만 영세 업체들이 늘어난 보안 비용을 감당할 수 있을지는 남은 과제로 꼽힙니다.