금융권 해킹 확산: 대신증권·미래에셋운용·빗썸에서 확인된 것

리드

10월 28일, 금융권 해킹 피해가 증권사와 가상자산 거래소로 번졌다. 금융감독원은 이날 대신증권과 미래에셋자산운용, 빗썸에서 추가로 외부 침입이 확인됐다고 밝혔다. 대신증권에서는 고객 3만8490명의 개인정보와 신용정보가 유출됐다. 빗썸에서는 지금까지 임직원 정보 유출만 확인됐고, 일반 회원 정보 포함 여부는 조사 중이다. 미래에셋자산운용은 일부 업무 시스템 이용자 정보에 한정된다는 잠정 설명을 내놨다. 은행·저축은행·보험사에 이어 증권·가상자산까지 뚫리면서, '내 계좌도 털린 것 아니냐'는 질문이 다시 커지고 있다.

대신증권: 3만8490명, 10월 17일 처음 확인

대신증권은 10월 28일 오전 보도자료를 통해 고객 3만8490명의 개인정보와 신용정보 유출을 밝혔다. 회사는 10월 17일 비대면 일임형 증권계좌 개설 연계 서버에서 해커의 비정상 접근을 확인했고, 당국에 보고한 뒤 조사 과정에서 유출을 최종 확인했다. 유출 항목은 보도 기준으로 고객명, 이메일, 주소, 통신사 식별정보, 휴대전화번호, 은행명, 암호화된 입출금 계좌번호, 대신증권 종합계좌번호 등이다. 목록에 비밀번호는 포함돼 있지 않다. 회사는 지금까지 2차 고객 피해 정황은 확인되지 않았다고 밝혔다. '아직 확인되지 않았다'는 말은 '없다'는 확정이 아니라 조사 중이라는 뜻으로 읽어야 한다.

빗썸과 미래에셋자산운용: 범위가 다른 두 설명

빗썸은 10월 27일 내부 모바일 그룹웨어 시스템에 대한 외부의 무단 접근으로 개인정보 유출을 인지했다. 지금까지 확인된 것은 임직원 정보뿐이고, 일반 회원 정보가 포함됐는지는 분석 중이다. 빗썸은 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다. 당국에 보고한 내용으로는, 가상자산 지갑 주소처럼 부정한 지급이나 가상자산 이체에 쓸 수 있는 정보는 유출되지 않았다고 전해졌다. 회원이라면 '회원 정보는 아직 확정되지 않았다'는 문장을 그대로 받아들여야 한다. 포함됐다고도, 안 됐다고도 아직 말할 수 없는 상태다. 미래에셋자산운용은 일부 웹 시스템에서 외부 인터넷 주소로부터의 비정상 접근 징후를 확인하고 접근 경로를 차단한 뒤 비상대응 체계를 가동했다. 원인·범위를 조사 중이며, 지금까지는 일부 업무 시스템 이용자 정보에 한정되고 고유식별정보·민감정보·개인신용정보 유출은 없었다는 설명이다. 개인 고객 대상 서비스가 아니어서 투자자 정보는 해당하지 않는다는 입장도 덧붙였다. 다만 이는 잠정 설명이고, 조사 결과에 따라 범위가 달라질 수 있다.

왜 '확산'이라고 하나: 10월의 흐름

이번 사태는 하루아침에 시작된 것이 아니다. 금융위원회가 10월 14일 연 회의 기준으로, 이미 16개 금융회사에서 정보 유출 사고가 확인됐고 유출 규모는 약 10만 건으로 추산됐다. 당시에는 계좌 비밀번호나 카드번호처럼 바로 부정 결제로 이어질 정보의 유출은 확인되지 않았다고 당국은 밝혔다. 금융회사 555곳의 12개 항목 자체 점검에서는 130곳이 보안 패치나 통제 체계 등에서 미비점을 보고했다. 10월 26일에는 미래에셋생명에서 일부 시스템 침입으로 고객 개인정보 유출이 확인돼 금감원이 현장점검에 나섰다. 10월 28일 세 곳이 더해지면서, 보도 정리로는 카드사를 제외하고 주요 금융 업권 대부분이 해킹 피해·확인 사례를 겪은 셈이 됐다. 업권이 넓어졌다는 점이 이번 뉴스의 핵심이다. 한 회사의 문제가 아니라, 비슷한 시기에 여러 회사의 문이 차례로 열렸다는 신호이기 때문이다.

스캔 440만 건의 의미와 한계

10월 21일 새벽 3시부터 북한 인터넷 주소 대역에서 금융회사를 겨냥한 스캔 형태의 접근이 대량으로 포착됐다. 스캔은 문이 열려 있는지, 취약점이 있는지를 두드려보는 행위로, 실제 침입과는 다르다. 통보 시점까지 확인된 건수는 약 440만4101건이었고, 확인된 주소 대부분은 175.45.176.0/22 대역이었다고 보도됐다. 여기서 두 가지 한계를 분명히 해야 한다. 첫째, 보도 기준으로 지금까지 그 주소 대역을 통한 공격 시도가 실제 침입으로 이어져 신고된 사례는 알려지지 않았다. 둘째, 북한 주소에서 왔다고 해서 북한 해커의 소행으로 단정할 수 없다. 공격자는 여러 지역의 주소를 오가며 쓸 수 있기 때문이다. 스캔 수치는 '공격 시도가 많았다'는 경고등이지, '누가 뚫었는지'에 대한 결론이 아니다.

당국은 무엇을 하고 있나

금감원은 10월 28일 오전 대신증권과 빗썸에 각각 현장점검반을 보냈다. 점검 과정에서 법 위반이 발견되면 검사로 전환하겠다는 방침이다. 금감원장 이찬진은 이날 오전 은행지주 이사회 의장들과의 간담회에서 정보기술(IT) 보안 투자를 비용으로만 보는 관행을 반복해서는 안 된다고 밝혔다. 인공지능(AI)을 활용한 해킹이 취약점 발견을 쉽게 하고 동시 다발 공격을 일상화할 수 있다는 경고도 나왔다. 금융위원회는 같은 날 오후 디지털금융정책관 주재로 가상자산 부문 긴급 점검 회의를 열었다. 금감원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 빗썸 등이 참석했다. 금융위는 전자금융거래법 적용을 받지 않는 부문의 보안 수준을 주요 금융회사 수준으로 끌어올리고, 사고 발생 시 대응 태세를 개선하겠다는 방향을 밝혔다. 다음 주에는 금감원·금융보안원·관계 부처·전 금융권 협회·5대 시중은행장이 참여하는 AI 해킹 대응 점검 회의를 열 계획이다. 국가안보실도 10월 28일 긴급대응 회의를 열어 유출 정보를 이용한 스미싱·보이스피싱 등 2차 피해를 막는 방안을 논의했다.

독자가 확인해야 할 것

가장 먼저 확인할 것은 '내가 유출 대상인가'이다. 대신증권 고객이라면 회사의 공지·개별 통지를 확인해야 한다. 유출 항목에 계좌번호가 포함돼 있어도, 보도 기준으로 계좌번호는 암호화된 상태였고 비밀번호 유출은 목록에 없다. 그렇다고 안심할 단계는 아니다. 이름·주소·전화번호·은행명 조합은 스미싱이나 보이스피싱의 재료가 될 수 있기 때문이다. 회사나 당국을 사칭해 계좌·비밀번호·인증번호를 묻는 연락은, 유출 여부와 관계없이 응하지 않는 것이 안전하다. 10월 28일 보도 기준으로, 당국이나 회사가 고객에게 비밀번호 변경을 지시했다는 내용은 확인되지 않았다. 이 글도 비밀번호 변경을 공식 지시로 전하지 않는다. 다만 같은 비밀번호를 여러 금융 서비스에서 쓰고 있다면, 이번 기회에 각 서비스별로 다르게 바꾸는 것은 일반적인 보안 수칙이다. 빗썸 회원은 일반 회원 정보 포함 여부가 아직 확정되지 않았으므로, 회사의 공식 발표를 기다리면서 평소보다 거래소 사칭 연락에 주의해야 한다. 미래에셋자산운용 건은 개인 고객 서비스가 아니라는 설명이 나온 만큼, 일반 투자자가 직접 피해를 입었는지 단정할 수 없다.

출처

마무리

정리하면, 확인된 것과 확인되지 않은 것을 구분하는 것이 중요하다. 확인된 것: 대신증권 3만8490명 유출과 항목, 빗썸 임직원 정보 유출과 회원 포함 여부 조사 중, 미래에셋자산운용의 잠정 범위 설명, 당국의 현장점검과 다음 주 회의 계획이다. 확인되지 않은 것: 빗썸 일반 회원 포함 여부, 미래에셋자산운용의 최종 범위, 각 사고의 공격 주체와 사고 간 연관성이다. 당국은 사고 간 연관성과 동일 공격자 여부, AI 활용 여부를 조사하고 있다고 밝혔다. 다음 주 회의와 각 회사의 추가 발표가 다음 확인 지점이다.