[단독]해킹 피해 신한·KB·하나, 보안 자체점검서도 '미흡'

신한 1개·KB국민 2개·하나 2개 항목 '미흡' 평가
인증·인가 검증부터 세션 무결성까지…보안 통제 미흡 사항 확인
국민·하나, 최종 점검선 '적정'…실전서 작동하는 보안체계가 관건

최근 해킹 공격으로 고객정보가 유출된 신한은행과 KB국민은행, 하나은행이 금융당국의 지시에 따라 실시한 정보기술(IT) 보안 자체 점검에서 일부 항목을 '미흡'으로 평가한 것으로 확인됐다. 해킹 공격을 받은 주요 시중은행 가운데 개인정보가 유출된 신한·KB국민·하나은행에서 보안 허점이 고스란히 드러난 셈이다. 대규모 금융거래가 이뤄지는 주요 은행에서 잇따라 정보 유출 사고가 발생한 만큼 기존 보안 체계의 실효성을 높여야 한다는 지적이 나온다.

연합뉴스

14일 박성훈 국민의힘 의원실이 확보한 '침해사고 대비 금융권 IT 보안 자체 점검 체크리스트'에 따르면 신한은행은 12개 점검 항목 가운데 1개를 미흡으로 평가했다. KB국민은행은 최초 제출 당시 2개 항목을 미흡으로 표시했으나 이후 최종 점검에서는 12개 항목 모두 적정으로 확인됐다고 밝혔다. 하나은행도 최초 점검에서는 2개 항목을 미흡으로 평가했으나, 이후 보완을 거쳐 최종 점검 결과는 모두 적정으로 제출했다. 반면 해킹 공격을 받았지만, 고객정보 유출이 확인되지 않은 우리은행과 NH농협은행은 12개 항목 모두 '적정'하다고 표기했다. 하지만 금융사들이 스스로 진행한 점검인 만큼, 적정 판정을 받았다고 해서 잠재적인 보안 취약점이 아예 없다고 단정하기는 어렵다.

이번 점검은 금융당국이 최근 금융권을 겨냥한 전방위적인 해킹 공격에 대응해 은행과 카드사 등에 보안 취약점과 대응 체계를 긴급 점검하도록 한 데 따른 것이다. 앞서 지난달 27일부터 이달 3일까지 신한·하나·KB국민·부산·NH농협·우리은행 등 6개 은행이 외부 해킹 공격을 받았다. 신한은행에서는 약 2만5000명, KB국민은행에서는 고객 99명과 임직원 20명 등 119명, 하나은행에서는 89명의 개인정보가 유출됐다.

이번 자체점검에서 신한·KB국민·하나은행이 공통으로 미흡하다고 평가한 것은 API 등 서비스 요청의 무결성을 검증하고 수평적 권한 상승을 차단하는 통제 관련 항목이다. 로그인한 이용자라도 다른 고객의 정보까지 조회할 수 없도록 서비스 요청 단계에서 접근 권한을 확인해야 하는데, 이 같은 통제가 제대로 작동하는지 점검하는 항목에서 미흡 판정이 나온 것이다. 세션 무결성 검증은 이용자의 접속 상태가 정상적으로 유지되고 서비스 요청이 위·변조되지 않았는지 확인하는 절차다. 수평적 권한 상승 차단은 이용자가 자신과 동일한 권한 수준의 다른 고객 정보에 무단으로 접근하지 못하도록 하는 조치다. 이 같은 보안 체계가 제대로 작동하지 않으면 다른 고객의 정보에 부적절하게 접근할 위험이 있다.

KB국민은행과 하나은행은 웹페이지 등 대외 시스템의 인증·인가 검증 기능 누락 여부와 접근 제어 취약점 등을 점검하는 항목에 대해서도 각각 '미흡' 평가를 내렸다. 실제 이번 해킹 사고에서 고객정보가 유출된 경로도 신한은행의 대출모집인용 조회 서비스, KB국민은행의 직원용 모바일 업무지원시스템, 하나은행의 영업지원시스템(ODS) 등 외부에서 접근할 수 있는 업무용 시스템이었다. 다만 이번 자체점검에서 확인된 미흡 사항이 실제 해킹에 악용된 취약점과 동일한지는 확인되지 않았다. 이들 은행은 이번 자체점검에서 확인된 미흡 사항에 대한 보완 조치를 완료했다고 밝혔다.

일각에선 자체점검 결과만으로 금융회사의 실제 보안 대응 능력을 판단하기는 어렵다는 지적이 나온다. 중요한 것은 실제 해킹 공격이 발생했을 때 보안 통제가 제대로 작동하는지 여부다. 대통령 직속 국가AI(인공지능)전략위원회 보안특별위원회 자문위원으로 활동 중인 박찬암 스틸리언 대표는 "외부에 노출된 시스템 목록을 빠짐없이 파악하고, 고객정보를 조회하는 각 경로에서 인증과 권한 검증이 이뤄지는지 확인해야 한다"며 "취약점을 발견한 뒤에는 조치 결과를 재검증하고, 새로운 서비스나 외부 연결이 생길 때마다 점검 범위를 갱신할 필요가 있다"고 말했다.

박성훈 의원은 "이번 보안사고는 그동안의 안일했던 대응 체계가 불러온 명백한 인재"라며 "금융은 신뢰를 잃으면 존재할 수 없는 만큼, 지금이라도 당장 보안 실태를 원점에서 점검하고 문제점들을 즉각 개선해야 한다"고 강조했다.

한편 금융위에 따르면 금융권 해킹 사고를 전후해 침해사고가 확인된 금융회사는 은행 등 전업권에 걸쳐 16개 사로 파악됐다. 정보 유출 규모만 10만 건에 달한다. 금융당국은 AI발 해킹 위협에 대비해 금융회사 보안체계·관리시스템을 전수 점검하기로 했다. 또 고객수가 많은 대형 금융회사의 경우 취약점 점검 평가 주기를 연 2회 이상으로 확대하기로 했다.

김민영 기자 argus@asiae.co.kr
금보령 기자 gold@asiae.co.kr