금융권 해킹 16곳에 고팍스 운영사·프라뱅 포함

금융위원회가 14일 공개한 해킹 피해 금융회사 16곳 명단에 가상자산사업자 두 곳이 들어갔다. 원화마켓 거래소 고팍스를 운영하는 스트리미, 그리고 코인마켓 거래소 프라뱅이다. 금융위는 이날 오후 3시 정부서울청사에서 신진창 사무처장 주재로 「제2차 긴급 상황대응 회의」를 열고 9월 말부터 이어진 금융권 침해사고 조사 경과를 내놨다.

금융위는 신한은행 사고 전후로 침해가 확인된 회사가 은행·저축은행·상호금융·여신금융·전자금융·온라인투자연계금융(온투)·가상자산사업자 등 전 업권에 걸쳐 16곳이라고 밝혔다. 금융회사들이 공유받은 공격 IP로 침해 여부를 계속 확인하고 있어 이 숫자는 더 늘어날 수 있다고 덧붙였다.

은행 4곳부터 거래소 2곳까지, 16곳 명단

보도참고자료에 실린 업권별 명단은 다음과 같다.

• 은행: 신한·국민·부산·하나
• 저축은행: 예가람·웰컴·디비·오케이 / 상호금융: 새마을금고중앙회
• 여신금융: 현대캐피탈·산은캐피탈 / 온투: PFCT·모우다 / 전자금융: 브라이트픽스
• 가상자산사업자: 스트리미·프라뱅

스트리미는 고팍스 운영사로, 바이낸스 쪽 법인이 지난해 말 기준 지분 67.45%를 갖고 있다고 딜사이트가 보도했다. 프라뱅은 2021년 12월 가상자산사업자 심사를 통과한 코인마켓 거래소로, 원화 입출금 없이 코인끼리만 사고판다. 금융위는 두 회사에서 무엇이 얼마나 빠져나갔는지는 따로 밝히지 않았다.

9월 30일 신한은행에서 시작된 2주

1. 9월 30일신한은행 정보유출 사고 발생, 이어 국민은행 등 주요 금융회사도 사이버공격 피해
2. 10월 2일금융위 사무처장 주재 1차 긴급 상황대응 회의, 전 금융권에 공격 IP 공유·보안 체크리스트 배포
3. 10월 4일이억원 금융위원장 주재 「全금융권 긴급 점검회의」, 외부 접근 원칙적 차단 등 지시
4. 10월 8일555개사 12개 항목 체크리스트 점검 마감
5. 10월 14일 15:002차 회의, 침해 확인 16개사·점검 결과 공개

체크리스트 점검에서는 425곳이 '적정'으로 냈고 130곳이 미흡한 점이 있다고 보고했다. 미흡한 곳은 대부분 보안패치나 관제(보안 감시) 항목 1~2건이었고, 전자금융업과 온투업에서 상대적으로 많았다. 주요 미흡 사항으로는 최신 보안패치 미적용, 제조사 기술지원이 끝난 시스템 방치, 24시간 실시간 관제 미구축, 외부 시스템의 인증 누락과 다중인증(MFA) 미도입이 꼽혔다.

주민번호까지 약 10만 건, 계좌·카드번호는 확인 안 돼

금융위에 따르면 지금까지 확인된 유출은 약 10만 건이고, 항목은 성명·연락처·주민등록번호·이메일 등이다. 바로 부정결제에 쓰일 수 있는 계좌번호나 카드번호 유출은 확인되지 않았다고 밝혔다. 이 10만 건이 회사별로 어떻게 나뉘는지는 공개되지 않았다.

당국은 피해 회사들에 공격 IP 차단, 보안패치, 관련 서비스 중단 같은 추가 피해 방지 조치를 하고 유출 사실과 대응 요령을 고객에게 알리도록 감독하고 있다고 했다. 금융감독원과 금융보안원이 현장 조사로 침해 경로와 공격 방식을 확인하고 있으며, 사고들이 서로 이어져 있는지, 같은 공격자인지, AI를 쓴 해킹인지도 살피고 있다.

"그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"

신진창 금융위원회 사무처장

고팍스 공지사항엔 아직 관련 안내가 없다

14일 오후 3시 30분 현재 고팍스 공지사항에는 이번 침해와 관련한 안내가 올라와 있지 않다.

서울경제는 지난 6일 국내 5대 거래소 가운데 고팍스만 개인정보 보호 영역까지 포함한 'ISMS-P' 인증이 없고 기본 'ISMS' 인증만 갖고 있다고 보도했다. 당시 고팍스 관계자는 "비용 측면에서 투자가 어려워 우선 기본적인 ISMS부터 취득했다"고 설명했다. ISMS는 가상자산사업자 신고에 꼭 필요하지만 ISMS-P는 의무가 아니다.

금융위는 앞으로 금융회사의 외부 연결 접점을 모두 목록화해 전수점검하고, 대형사의 취약점 점검을 연 2회 이상으로 늘리며, 회사가 스스로 찾은 위협 정보도 통합관제시스템(FIRST)으로 공유하게 하겠다고 밝혔다. 구체적인 점검 범위와 일정은 금융권과 협의해 정한다.