금융사 37곳 침해사고 40건, 가상자산 거래소 등서 10억원대 탈취 신고 — 금융위, 580개사 보안 전수점검

금융위원회는 11월 5일 이억원 위원장 주재로 금융감독원·금융보안원·금융권 협회장이 참석한 간담회를 열고 보안체계 혁신방안을 내놨다. 9월 30일부터 11월 3일까지 신고된 침해사고는 금융회사 37곳에서 40건이며, 유출 정보는 약 47만3000건으로 집계됐다. 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐고, 계좌 비밀번호처럼 부정결제로 이어질 수 있는 정보의 유출은 현재까지 확인되지 않았다. 업권별로는 전자금융업자가 10곳으로 가장 많았고 가상자산사업자는 3곳이었다.

가상자산 쪽에서 눈여겨볼 대목은 자금 탈취다. 일부 소규모 디지털자산 거래소와 전자금융업자, 온라인투자연계금융업자에서 약 10억원 규모의 탈취가 신고됐고, 유출 경로로는 디지털자산 핫월렛, 소비성 포인트, 고객자금을 통합 관리하는 계정이 지목됐다. 개별 이용자의 직접적인 금전 피해는 현재까지 확인되지 않았다. 당국은 공격이 핵심 전산시스템보다 보안관리가 취약한 주변부 — 직원이 영업·상담에 쓰는 웹·모바일 서비스 등 외부와 연결된 시스템 — 에 집중됐고, 접근 권한 관리 부실과 이중인증 우회, API 관리 미흡이 주요 취약점이었다고 분석했다.

앞으로의 일정은 단계가 섞여 있어 구분해 볼 필요가 있다. 이미 정해진 것은 전수점검이다. 은행·증권·보험·전자금융업자·가상자산사업자 등 약 580개사를 대상으로, 관리대장에 등록된 외부 연결 시스템은 이달 말까지, 미등록 시스템과 내부통제체계는 다음 달 말까지 점검을 마친다. 자체점검에서 중대한 취약점이 나오면 금융회사는 즉시 외부 접근을 차단하거나 서비스를 중단해야 하고, 점검이 부실한 곳은 현장점검 대상이 된다. 반면 가상자산사업자와 보험대리점까지 보안규율을 넓히는 '디지털금융 안전법'은 내년 1분기 중 마련 계획이고, 시정명령 불이행 시 이행강제금, 보이스피싱 무과실책임 법제화도 '추진' 단계다. 법 개정 사항은 아직 시행이 아니다. 망분리 규제는 전면해제 TF를 가동해 재검토한다.

이용자가 지금 확인할 것은 자신이 쓰는 거래소의 공지다. 침해사고가 있었는지, 개인정보 유출 통지를 받았는지, 핫월렛 관련 입출금 제한이 걸렸는지를 보고, 거래소 계정의 이중인증과 등록 출금주소·API 키 발급 내역을 점검하는 편이 좋다. 주민등록번호·계좌번호가 유출된 경우 2차 피해는 보이스피싱·사칭 형태로 오는 만큼, 금융회사·거래소를 자처하는 연락은 공식 채널로 되짚어 확인한다. 당국은 다크웹·텔레그램의 유출 정보 불법 유통을 상시 감시하고 AI로 보이스피싱 의심거래를 보는 '피싱지수'를 이달부터 시범 도입한다.