신한은행 고객정보 2만5000건 유출, 금감원 현장조사

대출모집인 접속 시스템 해킹
주민번호·소득·대출액 유출…신정법 위반
금감원, 은행·IT·보안 합동 조사 후 검사 전환

금융감독원이 신한은행에서 발생한 고객정보 유출 사고와 관련해 긴급 현장조사에 착수했다. 현재까지 파악된 유출 규모는 대출자 정보 약 2만5000건에 달하는 것으로 알려졌다. 유출 정보에는 개인별 소득과 대출금액 등 개인신용정보가 포함돼 금융당국은 신용정보법 위반 사안에 해당하는 것으로 보고 있다.

1일 금융당국에 따르면 금감원은 신한은행의 대출 모집 관련 고객정보 일부가 외부로 유출된 정황을 확인하고 전날부터 현장조사를 진행하고 있다.

금융당국 관계자는 "대출 관련 고객정보의 유출 규모 등을 확인하고 있다"며 "은행과 IT, 보안 부문이 함께 현장에 나가 조사를 진행하고 있다"고 말했다.

이번 사고는 고객들이 이용하는 신한은행 공식 홈페이지가 아닌 대출모집인들이 업무를 위해 접속하는 별도 시스템에서 발생한 것으로 전해졌다. 해당 시스템에는 대출모집인들이 입력한 차주의 주민등록번호와 소득, 대출금액 등 대출 심사·모집 과정에서 수집된 개인정보와 개인신용정보가 담겨 있었던 것으로 알려졌다.

금감원은 정확한 유출 범위와 정보의 종류, 사고 발생 경위, 내부통제 및 보안관리 실태 등을 확인하고 있다. 신용정보법 위반 사안인 만큼 현장조사를 마친 뒤 정식 검사로 전환할 가능성이 큰 것으로 전해졌다.

일각에서는 이번 사고에 '크리덴셜 스터핑(credential stuffing)' 수법이 사용됐을 가능성이 거론된다. 크리덴셜 스터핑은 공격자가 다른 경로로 확보한 아이디와 비밀번호 등 계정 정보를 특정 시스템에 대입해 로그인을 반복적으로 시도하는 공격 방식이다.

다만 이번 사고는 대출모집 관련 별도 시스템에서 발생한 것으로, 일반 고객들이 이용하는 신한은행 인터넷·모바일뱅킹 시스템 자체가 해킹된 것은 아닌 것으로 파악됐다.

금융위원회와 금감원 등은 이날 오전 회의를 열고 사고 상황을 공유하는 한편 대응 방안 등을 점검했다.

권해영 기자 roguehy@asiae.co.kr