새마을금고와 OK저축은행이 해킹 공격을 받으면서 보안 투자가 빈약한 2금융권으로 피해가 확산하고 있다. 이러한 2금융권 기업 상당수가 개인정보 인증이나 정보보안 공시에 참여하지 않아 보안 투자 현황조차 파악하기 힘들다는 비판이 나오고 있다.
14일 금융권에 따르면 새마을금고중앙회는 전날 해킹 공격을 받아 공제회원 400여명의 개인정보가 유출됐다고 공지했다. 유출 정보에는 이름과 주소, 암호화된 주민등록번호, 계좌번호와 잔액 등이 포함됐다. OK저축은행도 홈페이지 대출신청 페이지에서 비정상적인 접근을 발견하고 고객 183명의 정보 유출 가능성을 금융당국에 신고했다. 실제 유출 여부는 조사 중이다.
지난달 말 발생한 인공지능(AI) 금융권 해킹 사고 이후 공격 대상이 보안 투자가 빈약한 캐피탈, 저축은행, P2P금융 등으로 점차 확산하고 있다. 앞선 해킹 사태로 현대캐피탈, 예가람저축은행, 웰컴저축은행, PFCT, 모우다 등에서 5만명 이상의 개인정보가 유출됐다.
잇단 사고에도 2금융권의 정보보호 투자 실태는 '깜깜이' 상태다. 한국인터넷진흥원(KISA)에 따르면 올해 정보보호 공시에 참여한 저축은행, 캐피탈, P2P금융 업체는 신한저축은행, 웰컴저축은행, 롯데캐피탈 뿐이다. 저축은행 67곳이 공동 전산망을 이용하는 저축은행중앙회는 2022년 이후 최신 정보보호 공시를 확인하기 어렵다. 금융회사의 경우 KISA의 정보보호 공시 의무 대상에서 제외되지만 국민·신한·하나·우리은행 등 1금융권 은행은 자율 공시로 매년 보안 투자 및 인력 규모를 상세히 공개하고 있다.
저축은행 공동망을 운영 중인 저축은행중앙회의 2022년 정보보안 투자 규모를 보면 33억원에 불과한 것으로 나타났다. 전담 인력은 6명에 그쳤다. 개별망을 운영 중인 저축은행도 사정은 크게 다르지 않다. 신한저축은 작년 11억원을, 웰컴저축은 37억원을 보안 투자에 배정했다. 보안 전담 인력도 각각 8명, 6명에 불과했다. 롯데캐피탈은 지난해 보안 투자가 26억원, 전담인력은 7명이다.
정보보호 관리체계(ISMS) 인증도 저조하다. KISA 인증현황을 분석한 결과 2금융권 236곳 중 189곳(80.1%)이 인증을 받지 않은 것으로 집계됐다. 저축은행은 79곳 중 77곳, 캐피탈사는 51곳 중 46곳이 미인증 상태였다.
ISMS는 정보보호 조직과 위험 관리, 사고 대응 체계 등을 심사하는 제도다. 금융회사는 별도 감독규정을 적용받아 ISMS 인증이 원칙적으로 의무사항은 아니다. 그럼에도 은행권은 20곳 가운데 12곳이 일반 ISMS보다 더 인증이 까다로운 'ISMS-P'(정보보호 및 개인정보보호 관리체계) 인증을 받았다. 그만큼 은행권과 2금융권의 보안 투자 격차가 크다는 방증이다.
노후 전산시스템도 문제로 지목된다. 새마을금고의 핵심 거래 처리 시스템인 계정계는 2009년 구축된 것으로, 17년째 운영 중이다. 새마을금고중앙회는 올해 3370억원 규모의 계정계 최신화 사업을 추진하고 있지만 완료까지 상당한 기간이 필요하다. 저축은행중앙회도 노후 시스템을 교체하기 위해 차세대 통합 전산망에 약 1700억원을 들일 예정이다.
OK저축은행은 내년부터 독자 전산시스템을 구축해 공동망에서 벗어날 계획이지만, 이번 해킹 사태로 자체 보안 능력에 대한 의문이 제기되고 있다. OK저축은행은 전산 시스템 구축 사업비로 약 400억원을 들일 방침이다.
정부는 내년부터 금융회사의 정보보호 공시 의무대상 제외 규정을 삭제하는 시행령 개정을 추진하고 있다. 다만 보안 투자액이나 인증 여부가 실제 방어 능력을 보장하는 것은 아니다. 금융권에서는 외부 대출신청·조회 서비스 등 상대적으로 관리가 소홀한 시스템까지 보안 점검 범위를 확대해야 한다는 지적이 나온다.
배태웅 기자 btu104@hankyung.com
관련뉴스
