대신증권이 28일 고객 3만8490명의 개인·신용정보가 해킹으로 유출됐다고 밝혔습니다. 같은 날 미래에셋운용도 일부 웹시스템에서 외부 IP의 비정상적 접근 정황을 확인했다고 공개해, 증권사와 자산운용사에서 침해 사고가 잇따라 드러났습니다.

대신증권 유출 경위와 항목

대신증권이 해커의 접근 징후를 처음 포착한 것은 지난 17일입니다. 투자일임 비대면 증권계좌 개설과 연계된 서버에서 비정상적인 접근이 있었다는 것인데, 투자일임은 고객이 맡긴 자산을 증권사가 운용하는 서비스를 말합니다.

유출 대상은 고객명, 이메일, 주소, 통신 ID, 은행명, 입출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개 항목입니다. 이 가운데 입출금 계좌번호와 종합계좌번호, 휴대전화번호는 암호화된 상태였다고 회사는 설명했습니다.

대신증권은 고객에게 유출 사실을 개별적으로 안내하고 있습니다. 정보 유출로 손해를 입은 고객에게는 법령과 절차에 따라 배상할 계획입니다.

미래에셋운용은 같은 날 일부 업무용 시스템을 이용하는 정보에서 유출이 확인됐다고 밝혔습니다. 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 같은 고유식별정보와 민감정보, 개인신용정보는 유출되지 않았다는 설명입니다. 금전적 피해도 현재까지 확인되지 않았다고 덧붙였습니다.

금감원 긴급 점검과 해킹의 관계

금융감독원은 두 회사의 해킹 침해 사실을 인지하고 대신증권에 현장점검반을 보냈습니다. 대신증권과 미래에셋운용의 침해 현황을 추가로 파악하는 중입니다.

대신증권은 금감원의 보안 점검을 이미 한 차례 거친 곳입니다. 은행권 해킹 사고를 계기로 마련된 이 긴급 점검은 12개 항목의 보안 체크리스트로 지난 8일까지 진행됐는데, 대신증권에서는 별다른 문제가 발견되지 않았습니다. 이번 사고가 은행권 사고와 같은 공격 경로와 수법으로 발생했는지는 아직 확인되지 않았습니다.

이찬진 금융감독원장은 28일 오전 8개 은행지주 이사회 의장 정례 간담회에서 “전날 주요 금투사 쪽에서 전반적인 해킹 사고가 발생한 것으로 안다”고 말했습니다. 이어 정보기술(IT) 보안이 고객의 재산과 정보를 지키고 금융 신뢰를 세우는 핵심 업무라며, 이사회가 IT 보안 역량을 높이는 데 앞장서 달라고 당부했습니다.

금감원은 은행권 해킹 사태 이후 금융권 보안관리체계 개편을 추진해 왔습니다. 12개 항목 긴급 점검에서 나아가 금융회사의 보안체계와 관리시스템을 전수점검하는 방안이 그중 하나입니다. 외부 접점 관리와 관련해 최고경영자(CEO), 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보고체계와 책임 범위를 명확히 하는 방안도 포함돼 있습니다.