산은캐피탈, 해킹 나흘 만에 알았다…방치된 '테스트 페이지' 뚫려

최초 공격 이후 101시간 지나 침해사고 인지

내부 테스트 페이지가 해킹 공격 경로로 악용

[서울=뉴시스]산은캐피탈의 개인정보 유출 관련 공지문. (사진=산은캐피탈 홈페이지). [email protected]

[서울=뉴시스] 조현아 기자 = 최근 해킹 사고로 800여 명의 개인정보가 유출된 산업은행 자회사 산은캐피탈이 공격이 시작된 지 나흘이 지나서야 침해 사실을 인지한 것으로 파악됐다.

해킹 공격을 당한 곳은 차세대 시스템 개발 당시 만들어진 테스트 페이지로, 정식 시스템 개통 이후에도 제거되지 않은 채 남아 있다가 공격에 악용됐다. 별도의 인증 없이 정보를 조회할 수 있는 페이지가 방치됐다는 점에서 보안 관리체계에 허점이 있었던 것 아니냐는 지적이 나온다.

15일 국회 정무위원회 소속 박민규 더불어민주당 의원이 금융감독원으로부터 제출받은 산은캐피탈의 사고 보고서에 따르면 산은캐피탈은 지난 8일 오후 1시10분 해킹 공격이 시작됐다고 보고했다. 이후 침해사고를 인지한 것은 12일 오후 6시30분으로 최초 공격 시점으로부터 약 4일 5시간, 약 101시간이 지난 뒤였다.

산은캐피탈은 침해사고를 인지하기에 앞서 12일 오후 12시10분 비대면 접속 오류를 점검하는 과정에서 문제가 된 테스트 페이지를 발견해 차단했다.

이어 오후 3시14분 금융보안원으로부터 2차 금융권 공격 IP를 통보받아 차단했고, IP 분석을 통해 오후 6시30분 한국 IP 5개를 통한 침해사고를 확인했다. 금융보안원으로부터 공격 IP를 통보받은 뒤 침해 사실을 확인한 것이다. 해킹 공격은 12일 오후 5시13분 종료된 것으로 파악됐다.

이번 사고의 해킹 경로는 산은캐피탈의 리테일 테스트 페이지로 파악됐다. 해당 페이지는 차세대 시스템 개발 당시 내부 테스트 목적으로 만들어진 것으로, 내부 시스템에서 별도의 인증없이 정보를 조회할 수 있도록 구축됐다. 그러나 시스템 개통 이후에도 해당 화면이 제거되지 않고 남아 있어 해킹 공격에 악용된 것이다.

이번 사고로 개인 221건, 개인사업자 343건, 법인대표 284건 등 총 848건의 고객정보가 유출된 것으로 파악됐다. 유출 정보에는 이름과 주민등록번호, 생년월일 등이 포함됐다. 사고에 따른 직접적인 금전 손실은 없는 것으로 파악됐다.

산은캐피탈은 침해사고와 관련해 관리자, 테스트 페이지 등에 대한 인증과 IP 접근 통제를 강화하고, 운영 중인 서비스에 남아 있는 임의 테스트 페이지를 전수점검해 불필요한 페이지를 폐기하는 등 후속 조치를 실시했다.

다만 이번 사고를 계기로 개별 취약점에 대한 사후 조치를 넘어 개발·운영 단계의 보안 관리와 침해사고 탐지체계를 전반적으로 점검해야 한다는 지적이 나온다. 특히 최초 해킹 공격 이후 나흘이 지나서야 침해 사실을 확인한 만큼 이상징후 탐지와 초기 대응이 적절하게 이뤄졌는지 면밀히 살펴볼 필요가 있다는 지적이다.

최근 금융권을 겨냥한 연쇄 해킹으로 피해를 입은 금융회사는 총 16개사로 늘어났다. 은행권에서는 신한·KB국민·하나·BNK부산은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳에서 정보유출 사고가 발생했다.

여신전문금융회사인 산은캐피탈·현대캐피탈, 온라인투자연계금융업(온투업)인 PFCT·모우다, 전자금융업체인 브라이트픽스, 가상자산업체인 스트리미·프라뱅, 상호금융인 새마을금고중앙회 등에서도 피해가 확인됐다. 현재까지 확인된 금융사 해킹에 따른 개인정보 유출 건수는 약 10만건에 달한다.

박민규 의원은 "이번 해킹은 금융사의 보안취약점을 노린 공격으로, 고객의 중요정보를 다루는 금융사들이 안일한 보안인식 속에 동시다발적인 AI 기반 해킹 공격의 표적이 됐다"고 지적했다.

이어 "금융감독원이 금융권 전반에 대한 전수점검에 나선 만큼, 이번 기회에 각 금융사의 보안취약점을 철저히 확인하고 추가 침해사고를 막기 위한 보완조치에 즉각 나서야 한다"고 강조했다.


◎공감언론 뉴시스 [email protected]