새마을금고가 해킹 공격으로 공제 회원 400여명의 개인정보가 빠져나간 사실을 사고 발생 후 약 60시간이 지나서야 인지한 것으로 나타났습니다. 이 내용은 손명수 더불어민주당 의원이 확보한 행정안전부 자료에서 확인됐습니다. 침해 사고가 공제 홈페이지에서 처음 발생한 시점은 10일 오전 9시 9분이었고, 새마을금고가 피해를 제대로 인지한 시점은 12일 오후 8시 55분이었습니다.

유출 항목과 공격 방식

이번 해킹으로 공제 회원의 고객번호와 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 휴대전화 번호, 집 전화번호, 집 주소 등이 빠져나갔습니다. 새마을금고중앙회는 유출 항목이 회원마다 다르다면서 회사 전화번호와 회사 주소, 이메일 주소, 잔액도 일부 회원의 정보에 포함됐다고 확인했습니다. 이번 공격은 ‘파라미터 변조’ 방식으로 이뤄졌습니다.

파라미터 변조는 정상 거래 데이터의 특정 값을 몰래 바꿔 시스템을 속이는 해킹 수법입니다. 이용자가 직접 바꿀 수 없는 정보를 조작하는 것이 특징이며, 정상적인 거래 과정에서 오가는 데이터의 일부만 바꾸기 때문에 공격이 쉽게 드러나지 않는 경우가 많습니다. 특히 접근 권한에 대한 검증이 허술할 때 피해가 생기기 쉽습니다. 새마을금고는 금융보안원 등에서 이 공격에 쓰인 여러 IP를 공유받은 뒤에야 피해 사실을 알아차린 것으로 알려졌습니다.

금융권 해킹 확산과 감독 사각지대

새마을금고는 이번 공격에 인공지능(AI) 해킹 프로그램이 사용됐을 것으로 추정하고 있으며, 이번 사고는 AI 에이전트를 활용한 것으로 추정되는 해킹이 금융권 전반으로 번지던 시점에 발생했습니다. 앞서 신한은행과 KB국민은행, 하나은행에서 개인정보 유출이 확인됐고, 예가람저축은행과 현대캐피탈에서도 피해가 드러났습니다. 예가람저축은행은 고객 약 4만명의 이름과 생년월일, 연락처가 외부로 빠져나갔다고 밝혔습니다.

이억원 금융위원장은 “AI를 활용한 공격 가능성도 배제할 수 없다”고 말했습니다. 이억원 위원장과 이찬진 금융감독원장은 4일 금융권 협회장과 침해사고가 발생한 금융회사 최고경영자들을 긴급 소집해 점검회의를 열었고, 금융당국은 확인된 공격자 IP와 공격 수법을 전 금융권에 공유하도록 했습니다.

새마을금고는 금융기관의 역할을 하지만 지역 주민을 위한 협동조합이어서 관리 권한이 행정안전부에 있습니다. 손명수 의원은 금융권에 해킹 경계령이 내려졌는데도 개인정보 유출 사고가 “끊이지 않고 있다”고 지적했습니다. 그러면서 감독기관이 다르다는 이유로 보안관리의 사각지대가 생기지 않도록 감독체계를 정비해야 한다고 강조했습니다. 손 의원은 금융당국이 AI를 활용한 해킹 등 새로운 공격 수법에 현행 보안체계가 제대로 대응할 수 있는지 전면 재점검해야 한다고 덧붙였습니다.

새마을금고의 대응

새마을금고중앙회는 홈페이지에 신용공제대표이사 명의로 사과문을 올렸습니다. 중앙회는 유출 사실을 인지한 뒤 해커가 접속한 IP와 우회 접속에 쓰인 IP를 차단했으며, 홈페이지의 취약점을 추가로 점검하고 보완 조치를 수행했다고 알렸습니다. 중앙회 관계자는 이번 사고를 엄중하게 받아들인다며 “보안 시스템을 강화해 유사한 사고가 재발하지 않도록 최선을 다하겠다”고 말했습니다.

중앙회는 개인(신용)정보 보호 체계와 관리 절차 전반도 점검하고 있다고 밝혔습니다. 유출이 확인된 고객에게는 개별 통지를 진행하고 있으며, 이번 유출로 고객 피해가 생기면 전액 보상하겠다고 약속했습니다. 13일에는 OK저축은행도 해킹 공격을 받은 금융회사로 이름이 올라 정보 유출 여부를 조사하고 있습니다.