금융권 침해사고 16곳·정보유출 약 10만 건…555곳 중 130곳 보안 미흡 보고

금융위원회가 14일 금융회사 16곳에서 침해사고를 확인하고, 유출된 개인정보를 약 10만 건으로 파악했다고 밝혔다. 금융권 555곳의 자체 점검에서는 130곳이 보안상 미흡한 항목을 보고했다.

사고가 확인된 곳은 은행·저축은행·상호금융뿐 아니라 여신전문금융회사, 전자금융업자, 온라인투자연계금융업자와 가상자산사업자까지 걸쳐 있다. 금융위는 추가 확인이 진행 중이어서 사고 회사 수가 늘 수 있다고 설명했다. 16건이 모두 같은 공격자의 소행인지는 조사 중이다.

현재까지 파악된 유출 정보에는 이름, 연락처, 주민등록번호, 이메일 등이 포함됐다. 금융위는 계좌번호와 카드번호처럼 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다고 했다. 이는 조사가 끝났거나 다른 피해 가능성이 사라졌다는 뜻은 아니다. 약 10만 건은 정보 유출 건수로, 피해자 10만 명으로 바꿔 읽어서는 안 된다.

130곳이 낸 미흡 보고, 외부 검증 결과와 구분해야

금융위에 따르면 8일까지 555개 회사를 대상으로 12개 항목을 점검한 결과 425곳은 적정, 130곳은 일부 미흡사항이 있다고 제출했다. 이 수치는 회사별 체크리스트 보고 결과이지 감독당국이 555곳의 모든 시스템을 독립적으로 검증한 결과는 아니다.

미흡 보고에는 최신 보안패치 미적용, 기술지원이 끝난 시스템 관리 부족, 24시간 보안관제 체계 미구축 등이 포함됐다. 외부에서 접근할 수 있는 시스템의 인증·인가 절차가 빠지거나 중요 서비스에 다중인증을 도입하지 않은 사례도 있었다. 해당 회사들은 보완 실행계획을 제출하고 긴급 조치를 진행 중이라고 금융위는 밝혔다. 완료 여부는 별도로 확인해야 한다.

전수점검·평가 주기 확대 추진…시행 일정은 아직

금융위는 14일 두 번째 긴급 상황대응 회의에서 금융회사의 외부 접점과 접근권한, 내부 보고체계를 포함한 보안관리 전수점검을 추진하기로 했다. 앞서 2일 첫 회의에서는 외부 노출 시스템 점검과 공격 IP 공유를 주문했고, 이번에는 그 뒤 제출된 체크리스트 결과를 공개했다.

대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 늘리는 방안도 추진한다. 금융회사가 자체 파악한 위협정보를 공동 관제체계에 공유하도록 하는 방안과 중소형 회사의 공동 보안관제 지원도 검토 대상이다. 점검 범위와 일정, 제도 변경의 확정 시점은 아직 발표되지 않았다.

대표 이미지: AI 생성 이미지 / 데이마크

출처: 금융위원회 14일 자료 https://www.fsc.go.kr/no010101/87927

금융위원회 2일 자료 https://www.fsc.go.kr/no010101/87869

연합뉴스 14일 16시 04분 보도 https://www.yna.co.kr/view/AKR20261014134851002