한국, 암호화폐 기업 포함 16곳 데이터 유출 사고 조사 착수

최근 한국 금융 시장을 뒤흔든 대규모 고객 데이터 유출 사고와 관련하여 금융당국이 암호화폐 거래소 두 곳을 포함한 총 16개 금융 회사를 조사 대상으로 명시했다. 이번 발표는 주요 은행들과 함께 가상자산 사업자들의 보안 취약성이 다시 한번 도마 위에 올랐음을 시사한다.

금융위원회(FSC)는 지난 10월 14일, 이번 데이터 유출 사고로 영향을 받은 16개 금융 회사 명단을 공개했으며, 여기에는 스트리미(Streami)와 프라방(Pravang)이라는 두 암호화폐 관련 기업이 포함되었다. 스트리미는 국내 암호화폐 거래소인 고팍스(Gopax)를 운영하는 회사이며, 프라방은 이번 발표에 언급된 또 다른 가상자산 사업자이다. 이들 기업은 신한, 국민, 부산, 하나은행 등 전통적인 금융 기관들과 함께 조사 대상에 올랐다.

이번 유출 사고로 인해 총 10만 건에 달하는 고객 데이터가 영향을 받은 것으로 추정된다. 유출된 정보에는 이름, 연락처, 주민등록번호, 이메일 주소 등이 포함된 것으로 파악되었다. 다만, 금융위원회는 아직까지 특정 회사별 피해 규모에 대한 상세한 내역은 공개하지 않은 상태다. FSC의 영문 발표에 따르면, 10월 14일 기준으로 유출된 계정 비밀번호나 신용카드 번호는 아직 확인되지 않은 것으로 전해졌다.

현재 금융감독원(FSS)과 금융보안원은 이번 공격에 사용된 방법론, 사고 간의 연관성, 단일 공격자의 소행 여부, 그리고 인공지능(AI) 기술의 활용 가능성 등을 포함한 다각적인 조사를 진행하고 있다. 또한, 당국이 공유한 공격자의 IP 주소와 대조하며 시스템 점검을 진행하는 과정에서 피해를 입은 회사의 수가 더 늘어날 가능성도 배제할 수 없다.

이번 공식 발표 이전에도 당국은 광범위한 보안 점검을 실시했으며, 확인된 유출 사고 외에도 잠재적인 보안 약점들이 다수 발견되었다. 지난 10월 8일까지 전체 555개 금융 회사가 12가지 항목으로 구성된 자체 점검 체크리스트를 완료했으며, 이 중 425개 회사는 보안 체계가 적절하다고 보고했고, 130개 회사는 개선이 필요한 영역이 있다고 응답했다. 이 체크리스트는 금융권 전반에 걸친 자율 평가 방식으로 진행되었다.

보고된 보안상의 미흡점은 주로 보안 패치 적용 및 모니터링 시스템 강화와 관련된 사항들이었다. 구체적으로는 소프트웨어 업데이트 누락, 공급업체의 지원이 중단된 시스템에 대한 관리 미흡, 24시간 모니터링 시스템 부재, 인증 또는 접근 제어 시스템의 취약점 등이 지적되었다. 해당 회사들은 현재 개선 계획을 제출하고 시정 조치를 이미 착수했거나 진행 중에 있다.

**금융당국의 향후 계획: 포괄적인 보안 강화 및 책임 명확화**

이번 사고에 대한 금융당국의 대응 방안은 금융 회사들의 보안 관리 전반에 걸쳐 이루어질 것으로 보인다. 외부 시스템과의 연동, 인증 및 접근 제어 시스템부터 경영진의 책임 범위까지 폭넓게 검토될 예정이다. 금융위원회는 최고경영자(CEO), 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 명확한 보고 라인과 책임 소재를 규정하는 내용을 포함하여, 외부 연결, 인증 및 접근 통제에 대한 포괄적인 검토를 계획하고 있다.

특히, 이번에 제안된 방안 중 하나는 대형 금융 회사를 시작으로 취약점 평가를 연 2회 이상 의무화하는 것이다. 현재 금융 회사 및 전자금융업자에 대한 일반적인 규정은 연 1회 테스트를 요구하고 있으며, 외부 웹사이트는 이미 연 2회 점검을 받고 있다. 이는 보안 점검의 빈도를 높여 잠재적 위험에 더 신속하게 대응하려는 의도로 풀이된다.

또한, 규제 당국은 금융 회사들이 감지한 위협 정보의 공유를 더욱 신속하게 하고, 정기적인 보안 테스트를 더 자주 실시할 계획이다. 이러한 조치들은 특히 대형 금융 기관들을 중심으로 우선적으로 시행될 예정이다. 이를 통해 금융 시스템 전반의 보안 수준을 한 단계 끌어올리고, 유사 사고 발생 시 피해를 최소화하겠다는 방침이다. 이번 데이터 유출 사고는 한국 금융 시장의 디지털 전환 가속화와 함께 보안 강화의 필요성을 다시 한번 절감하게 하는 계기가 되었다.