한은 직원 186명 개인정보 유출…올해 해킹 시도도 4.5배 급증

[이데일리 김국배 기자] 한국은행 직원 186명의 개인정보가 외부 온라인 연수업체 해킹으로 유출된 사실이 뒤늦게 확인됐다. 한동안 줄었던 한은 인터넷망 대상 해킹 시도도 올해 다시 늘어 8월까지 지난해 연간 건수의 4배를 넘어섰다.

28일 국회 재정경제기획위원회 소속 이종욱 국민의힘 의원이 한은에서 제출받은 자료에 따르면 지난 5월 9일부터 6월 8일까지 한은 온라인 연수 개인정보 처리 수탁업체가 이용하는 시스템(GitHub)에 외부 침입이 발생했다.

이 사고로 한은 직원 186명을 포함한 해당 업체 회원사들의 개인정보가 유출됐다. 유출 정보에는 이름과 회사명, 이메일, 전화번호 뿐 아니라 직급·직무·소속과 암호화된 비밀번호도 포함됐다. 한은은 6월 11일 수탁업체로부터 유출 사실을 통보받은 뒤 다음 날 해당 직원들에게 이를 알리고 개인정보보호위원회에 신고했다.

한은에서 개인정보가 외부에 노출된 것은 이번이 처음은 아니다. 2023년 6월에는 통계조사보조원 채용 지원자의 지원서가 한은 홈페이지에 공개돼 이름과 생년월일, 주소, 연락처, 학력·경력 등이 노출됐다. 한은은 다음 날 해당 자료를 삭제하고 당사자에게 통보했다.

한은 자체 시스템을 겨냥한 해킹 시도도 올해 다시 증가했다. 2021년부터 올해 8월까지 탐지된 해킹 시도는 모두 2063건으로 집계됐다. 연도별로는 2021년 1557건에서 2022년 192건, 2023년 97건, 2024년 52건, 지난해 30건으로 감소했으나 올해는 8월까지 135건으로 늘었다. 8개월 만에 지난해 전체의 4.5배에 달한 것이다.

한은은 2022년부터 공격 탐지 건수가 크게 줄어든 데 대해 “이메일 서버의 클라우드 전환과 로그인 규칙 강화로 무작위 비밀번호 대입 공격이 줄어든 영향”이라고 설명했다.

공격 유형별로는 비인가 접근 시도가 125건으로 대부분을 차지했으며 악성코드 공격은 10건이었다. 전체 기간으로 넓히면 비인가 접근 1951건, 악성코드 95건, 정보수집 16건, 디도스(DDoS·분산서비스거부) 공격 1건이었다. 공격 시도 2063건 가운데 2024건은 국외에서 발생했다.

공격 대상은 주로 한은 대표 홈페이지와 경제통계 홈페이지, 전자도서관 등 외부 인터넷망에서 운영되는 시스템이었다. 실제 접속 장애로 이어진 사례도 있다. 2023년 12월 한은 홈페이지가 디도스 공격을 받아 접속이 일시적으로 지연됐다. 한은은 “당시 국외 접속을 차단해 서비스를 정상화했으며 금융정보 등은 유출되지 않았다”고 밝혔다.

이종욱 의원은 “중앙은행인 한은이 개인정보 유출과 홈페이지 접속 장애를 가볍게 봐서는 안 된다”며 “사고 원인을 면밀히 분석하고 보안 체계 전반을 점검해 재발 방지 대책을 마련해야 한다”고 말했다.