투데이e코노믹 = 우혜정 기자 | 신한은행과 KB국민은행에서 이틀 사이 나란히 고객정보 유출 사고가 확인됐다. 신한은행은 1일, KB국민은행은 2일 각각 유출 사실을 밝혔는데, 두 은행 모두 비정상적인 외부 접근을 처음 감지한 시점은 지난달 30일 밤으로 같다. 발표만 하루 차이였을 뿐, 실제 공격은 같은 날 밤 벌어진 셈이다. 금융감독원이 지난 4월 "재발하면 무관용 처벌"을 경고한 지 반년 만에, 그 말이 다시 시험대에 올랐다.

공격 지점은 달랐지만, 구멍난 자리는 같았다

신한은행 사고는 대출모집인 전용 모바일 홈페이지에서 시작됐다. 외부 비인가자가 인증 절차를 우회해 접근한 뒤 접수번호 등을 무작위로 대입해 정보를 빼냈고, 한 서비스에서 확보한 고객번호로 다른 간편조회 서비스까지 넘어가는 연쇄 공격이 이어졌다. KB국민은행은 직원용 모바일 업무지원시스템이 표적이 됐다. 두 사고 모두 인터넷뱅킹이나 모바일뱅킹 같은 핵심 계좌 시스템이 아니라, 평소 눈에 잘 띄지 않는 주변 서비스가 뚫렸다는 공통점을 갖는다.

유출된 정보의 무게는 서로 달랐다

규모로 보면 신한은행 쪽이 훨씬 크다. 고객 약 2만5000명의 이름과 전화번호, 연소득, 대출 관련 정보가 빠져나갔고 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다. 소득과 대출 내역까지 들어 있다는 건 한 사람의 금융생활을 상당히 들여다볼 수 있는 정보가 새어나갔다는 뜻이다. KB국민은행은 피해자가 119명으로 적지만, 이름·전화번호·주소에 암호화된 주민등록번호까지 포함돼 있어 규모와 무게를 단순 비교하기는 어렵다.

"재발하면 무관용"이라던 경고, 반년 만에 다시

이찬진 금융감독원장은 지난 4월 7일 국회, 금융협회, 보안업계가 모인 간담회에서 "보안상 취약점을 장기간 방치하거나 기본적 의무를 지키지 않고 내부통제가 미흡한 경우가 다수"라며 재발 시 엄중한 책임을 묻겠다고 밝혔다. 당시 배경이 된 사고는 롯데카드, 서울보증보험, 업비트, 대부업체 리드코프 자회사, 보험대리점 등으로 카드사·보험사·가상자산거래소 쪽에 걸쳐 있었다.

반년이 지난 지금, 이번엔 금융권에서 가장 보안이 두텁다고 여겨지는 시중은행 두 곳에서 같은 날 밤 사고가 났다. 업권의 무게가 다른 만큼 경고가 얼마나 지켜졌는지를 보는 눈도 더 엄격해질 수밖에 없다. 금융감독원은 시중은행 관계자들을 긴급 소집해 외부 접속경로와 정보보안 체계를 다시 들여다보고 있다.

"전액 보상"으로 메워지지 않는 부분

두 은행 모두 피해 발생 시 전액 보상을 약속했다. 돈으로 메울 수 있는 손해는 그렇다 쳐도, 패턴 자체는 쉽게 메워지지 않는다. 핵심 뱅킹 시스템에는 보안 투자가 집중되는 반면, 대출모집인용 포털이나 직원용 내부 시스템처럼 상대적으로 덜 주목받는 곁가지 서비스가 약한 고리로 남아 있다는 점이 두 사고에서 똑같이 드러났다. 금융권 한 관계자는 "정보보호 기술이 고도화되면 탈취 기술도 빨리 발전해 긴장감을 놓칠 수 없다"고 말했는데, 이 말은 이번에도 결과적으로 맞아떨어진 셈이다.

관전 포인트는 이제 금융당국의 다음 수다. 무관용을 공언했던 감독당국이 실제로 어떤 수위의 제재를 내놓을지, 그리고 그 제재가 '핵심 시스템은 지키고 주변 시스템은 방치하는' 구조 자체를 바꿔놓을 수 있을지가 이번 사고의 진짜 시험대가 될 것으로 보인다.