[1mm금융톡]시중은행도 정보 털렸다…CEO 인사·국감 앞두고 대형 악재 맞은 신한은행

해킹으로 고객 2만5000명 정보 유출
대출모집인용 간편조회 서비스 표적…보안 취약성 드러나
잇단 개인정보 유출에 CEO 인사·국감 앞둔 '민감한 시기'
하반기 주요 리스크 부각…수습·당국 조사 결과에 촉각

신한은행이 고객 2만5000명의 정보가 유출되는 해킹 사고로 대형 악재를 맞았다. 최근 카드사 등에서 개인정보 유출 사고가 잇따른 가운데 고객 신뢰를 기반으로 하는 시중은행에서도 사고가 발생하면서 금융권의 긴장감이 커지고 있다. 특히 차기 최고경영자(CEO) 선임 절차가 진행 중인데다 국정감사까지 앞두고 있어 이번 사태가 신한은행의 하반기 주요 리스크로 떠올랐다는 평가가 나온다.

2일 금융권에 따르면 이번 신한은행 고객정보 유출 사고는 대출모집인들이 이용하는 모바일 홈페이지의 조회 서비스에서 시작됐다. 신한은행은 대출모집인들이 대출 처리 현황을 간편하게 조회할 수 있는 서비스 페이지를 운영해왔는데, 외부 비인가자가 인증을 우회하는 비정상적인 방법으로 해당 서비스에 무단 접근했다는 게 은행 측 설명이다.

해커는 접속 이후 접수번호 등 입력값을 무작위로 대입해 조회되는 대출 신청 여부와 신청금액·승인액 등 정보를 탈취했다. 이어 여기서 확보한 고객번호를 기반으로 인터넷뱅킹 가입 여부, 환전 여부 등 다른 간편조회 서비스에도 접근해 연락처·생년월일 등 추가 정보를 빼낸 것으로 파악됐다.

신한은행은 지난달 29일 밤 해당 사이트에서 조회량이 한꺼번에 몰리는 것을 확인하면서 해킹 사실을 인지했다. 이후 해커 접근이 지속된 30일 오전 1시께까지 공격을 방어한 뒤 유출 규모를 파악해 같은 날 오전 9시 금융당국에 사고 사실을 알렸다. 현재까지 파악된 정보 유출 고객은 약 2만5000명이다. 유출된 정보는 고객명과 전화번호, 연소득, 산출한도 등 대출 신청 관련 정보다. 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 유출됐다.

이번 사고를 계기로 대출모집인용 간편조회 서비스의 보안 체계가 적절했는지를 둘러싼 지적도 제기된다. 공격 대상이 된 서비스는 인증서 기반의 일반 금융서비스보다 휴대폰 문자인증과 같은 상대적으로 보안이 취약한 방식으로 이용할 수 있었다. 공격자가 이 서비스에서 확보한 고객번호를 이용해 다른 간편 조회 서비스까지 접근한 것으로 파악되면서 서비스별 인증·접근 통제가 충분했는지도 금융당국 조사의 쟁점이 될 전망이다.

다만 이번 사고는 신한은행의 모바일 앱 등 핵심 뱅킹 시스템이 직접 해킹된 것은 아닌 것으로 파악되고 있다. 금융감독원은 현장점검을 통해 정확한 사고 경위와 유출 범위, 관련 법규 위반 여부 등을 들여다보고 있다.

서울 중구 신한은행 본사 앞. 연합뉴스

신한은행을 비롯한 신한금융그룹이 그동안 고객 신뢰를 경영의 최우선 가치로 강조해왔다는 점에서도 이번 사고는 부담이다. 진옥동 신한금융 회장은 지난 9월 창립 25주년 기념사를 통해 "고객의 자산을 관리하는 금융회사에 신뢰는 여러 가치 가운데 하나가 아니라 모든 의사결정과 지속 가능한 성장의 출발점이자 마지막 관문"이라며 "그것이 신한의 다음 역사를 만들어가는 가장 중요한 힘"이라고 강조했다.

특히 롯데카드와 티빙 등에서 개인정보 유출 사고가 잇따르며 사회적 경각심이 높아진 상황에서 사고가 발생했다는 점도 부담이다. 이재명 대통령은 지난달 30일 엑스(X·옛 트위터)를 통해 "이제는 개인정보 보호를 위한 인력과 시스템을 제대로 갖추길 바란다. 사고 발생 시 감당하기 어려운 수준의 과징금 부과, 강력한 형사처벌은 물론 집단소송으로 민사배상까지 받을 수 있도록 하겠다"고 경고한 바 있다.

시기적으로도 민감하다. 신한금융은 연말 임기가 끝나는 자회사 CEO들의 승계 절차에 착수한 상태다. 정상혁 신한은행장의 임기도 오는 12월31일 끝난다. 여기에 국정감사까지 앞두고 있어 금융권에서는 사고 수습 과정과 금융당국의 조사 결과가 향후 신한은행 경영진에 적지 않은 부담으로 작용할 수 있다는 관측이 나온다.

다른 은행들도 신한은행 사고 이후 자체 보안 점검에 나선 상황이다. 지난 7월 외부 개발업체의 과실로 닉네임·아이디 등 고객정보 1만7551건이 유출된 우리은행은 인공지능(AI)을 활용한 취약점 점검을 수행하고 연계정보 안전조치를 추진 중이다.

금융권 관계자는 "정보를 보관·보호하는 기술이 고도화되면 이를 탈취하려는 기술이 더 빨리 고도화돼 업권 전체가 긴장감을 놓칠 수 없는 상황"이라고 말했다.

김혜민 기자 hmin@asiae.co.kr