금융보안원 정보유출 사과
박상원 금융보안원장은 11월 12일 금융정보보호 콘퍼런스인 FISCON 2026 개회사에서 정보유출 사고를 사과했다. 행사는 서울 여의도 콘래드호텔에서 열렸다. 박 원장은 국민과 금융권 관계자에게 심려를 끼쳤다며 고개를 숙였다.
박 원장은 보안 전문기관에 요구되는 높은 수준의 보안을 유지하지 못한 데 대해 송구하다는 뜻을 밝혔다. 추가 정보유출 여부와 사고 원인을 조사하고 있다고 설명했다. 점검 대상을 사고가 발생한 시스템에 한정하지 않고 금융보안원 전 시스템으로 넓히겠다고 약속했다.
올해 FISCON은 20주년을 맞아 금융권의 사이버 위협 대응과 정보보호 역량 강화를 논의하는 자리로 마련됐다. 금융권에서 해킹 사고가 잇따른 가운데 보안 지원기관 자체의 사고까지 발생한 상황에서 행사가 열렸다. 박 원장은 정보보호 체계 전반을 개선하고 금융회사 보안을 지원하는 역할을 충실히 수행하겠다고 밝혔다.
사칭 계정의 자료 접근
금융보안원은 11월 9일 오후 3시께 상시평가 시스템에서 비정상적인 외부 접근에 따른 정보유출 사실을 파악했다. 해당 시스템은 금융회사가 평가에 필요한 행정서식과 증빙자료 등을 제출하는 곳이다. 금융보안원이 평가하고 금융감독원이 확인하는 플랫폼으로, 금융사 등 3000여 개 기관이 이용한다.
공격자는 금융감독원 직원으로 위장한 허위 계정을 만들어 시스템에 접속한 것으로 파악됐다. 금감원 계정이 금융회사 자료 전반을 살펴볼 수 있다는 점을 악용한 방식이다. 수백 개의 인터넷주소를 사용해 한 곳에서 자료를 대량으로 가져가는 모습이 드러나지 않도록 한 정황도 나타났다.
금융보안원은 사고를 인지한 뒤 시스템 접속을 차단하는 긴급 조치를 했다. 사고 직후에는 서비스 개편에 따른 점검이라고 공지했다가 10일 밤늦게 사고 사실을 공식 발표했다. 피해 금융회사에도 10일 정보유출 사실을 전달했다.
유출 범위와 피해 우려
유출 대상은 금융회사 48곳이 제출한 파일 130여 개다. 자료에는 개인신용정보 동의서 견본 등 행정서식 약 200건과 서식에 포함된 이름·생년월일 등 개인정보 300여 건이 들어 있다. 시스템 이용자 정보도 350여 건 유출됐다.
시스템 이용자 정보에는 가림 처리된 이름과 휴대전화번호, 이메일 등이 포함됐다. 이메일 주소는 가림 처리 없이 유출됐다. 금융회사 보안 담당 직원의 정보가 빠져나간 점을 두고 후속 공격에 악용될 수 있다는 우려가 제기됐다.
금융보안원은 유출 자료 대부분이 광고성 이벤트 정보 전송 내역과 동의서 등 행정서식이라고 설명했다. 금융회사 시스템 구성도와 주민등록번호, 개인신용정보 등 고객 민감정보는 유출되지 않았다고 밝혔다. 또 상시평가 시스템은 일반 금융고객의 금융거래를 처리하거나 취약점 분석평가 결과를 수집하는 시스템이 아니라고 설명했다.
이전 감사와 보안 책임
금융위원회는 2022년 특정감사에서 상시평가 시스템의 정보유출 가능성을 지적했다. 금융회사 담당자가 개인 컴퓨터로 증빙자료를 열람할 수 있다는 점이 문제로 거론됐다. 외부에 노출된 단말기를 통해 중요 정보가 유출될 수 있으므로 접근 관리가 필요하다는 취지였다.
별도로 금융보안 레그테크 포털의 접근 통제와 계정 관리도 감사 대상이 됐다. 지난해 6월 종합감사에서는 특정 금융회사가 다른 회사 보고서를 열람할 수 있는 허점이 지적됐다. 금융위는 이를 고치고 다른 웹사이트에도 유사한 문제가 있는지 점검하도록 요구했다.
권헌영 고려대 정보보호대학원 교수는 금융회사들이 출자한 민간기관이 금융당국 권한을 위임받아 행사하는 구조를 지적했다. 금융보안원이 전체 대응을 총괄하기 어렵다며 금융위와 금감원의 책임을 강조했다. 장항배 중앙대 산업보안학과 교수는 보안을 지원하는 기관이 공격받았다는 점 자체를 문제로 보고 관련 서비스의 보완을 촉구했다.
정밀조사와 후속 대응
금융보안원은 금융위원회와 한국인터넷진흥원에 사고를 신고했다. 금융위는 11일 현장조사에 착수해 사고 원인과 추가 유출 가능성을 살피고 있다. 금융보안원은 경찰에도 수사를 의뢰했다.
조사에서는 앞서 이어진 금융권 해킹과 이번 사고의 연관성도 살펴볼 예정이다. 금융보안원은 자체 조사와 함께 정보보호 관리체계 전반을 다시 점검한다는 방침이다. 박 원장은 이를 바탕으로 근본적인 재발 방지 대책을 마련하겠다고 밝혔다.
금융보안원은 관련 금융회사에 개별 안내하고 정보주체에게도 유출 사실과 피해 예방 사항을 알릴 계획이다. 추가적인 정보유출을 막기 위한 긴급 보안조치도 진행하고 있다. 안내와 예방 조치에도 2차 피해가 발생하면 적극적으로 배상하겠다는 입장을 밝혔다.
정보유출 사고 대응 경과
금융보안원이 오후 3시께 상시평가 시스템의 비정상적 접근과 정보유출을 파악하고 접속 차단에 나섰다.
피해 금융회사에 사고를 알리고 밤늦게 정보유출 사실을 공식 발표했다.
금융위원회가 사고 원인과 피해 범위를 살피기 위한 현장조사에 착수했다.
박상원 원장이 FISCON 2026에서 공식 사과하고 전 시스템 전수점검을 약속했다.