보안점검 금투사 25% 미흡…보안 구멍 알고도 보완은 더뎌

[이데일리 임유경 기자] 전 금융권을 대상으로 한 금융당국의 긴급 보안점검 이후에도 금융투자업권과 가상자산거래소에서 해킹으로 인한 정보유출이 발생한 가운데, 점검 과정에서 확인한 보안 구멍을 신속하게 보완하지 못한 것이 전수 점검의 실효성을 떨어뜨렸다는 지적이 나온다.

1일 국회 정무위원회 소속 한민수 더불어민주당 의원실을 통해 확보한 금융감독원의 ‘금융권 자체점검 결과 및 조치내역’에 따르면 금융투자사 77곳 중 24.7%인 19곳(중복 제외)이 보안 관련 미흡사항을 보고했다.

취약점을 보완하는 기본적인 관리부터 공격 징후를 신속히 포착하는 대응체계까지 허점이 확인됐다. 전체 전산시스템, 단말기, 네트워크 장비 등에 대한 최신 보안패치 적용이 미흡한 회사가 10곳으로 가장 많았고, 제조사 기술지원이 종료 등 불가피한 보안패치 미적용 장비를 식별하고 이에 대한 보안 모니터링을 하는 데 미흡한 곳도 5곳이었다. 사이버 위협을 조기에 탐지하기 위한 실시간 보안관제체계와 의심스러운 행위를 식별·차단하는 모니터링체계가 미흡한 곳은 각각 5곳으로 집계됐다.

[이데일리 김일환 기자]

이번 점검은 지난달 1일 신한은행 등에서 침해사고가 발생하자 금융당국이 지난달 8일까지 진행한 긴급 자체점검이다. 금융회사와 전자금융업자, 온라인투자연계금융업자 등 555개사가 공격표면 관리, 관제체계 운영, 보안패치·기술지원 종료 장비 관리, 공격자 인터넷주소(IP) 차단·점검 등 4개 분야 12개 항목을 확인해 결과를 제출했다. 이 가운데 425곳은 ‘적정’으로, 130곳은 미흡사항이 있다고 보고했다.

그러나 보안점검 이후 금융권 침해사고는 잠잠해지긴 커녕 오히려 금융투자업권과 가상자산거래소까지 번졌다. 대신증권은 지난달 28일 고객 3만 8490명의 개인·신용정보가 유출됐다고 밝혔다. 같은 날 미래에셋자산운용도 일부 업무용 웹 시스템에서 외부 IP의 비정상적인 접근 정황을 확인했다고 공지했다.

중소 가상자산거래소 프라뱅은 지난달 24일 외부인의 무단 접근으로 핫월렛(인터넷에 연결된 지갑)에서 1억원의 금전 피해까지 발생했다. 이 회사는 이보다 앞서 지난달 2일에도 별개의 해킹으로 고객 113명의 개인정보가 유출됐다.

특히 프라뱅은 이번 점검에서 사실상 ‘총체적인 보안 부실’이 확인됐다. 김형연 조국혁신당 의원실을 통해 확인한 프라뱅의 자체점검에는 12개 항목 중 ‘적정’이 3개에 불과했다. 나머지는 ‘미흡’ 3개, ‘부분 적정’ 6개로, 보안관리 전반이 부실한 것으로 드러났다.

구체적으로 외부 서버의 불필요한 서비스·접속 통로를 줄이고 외부 입력값을 검증하는 항목, 웹페이지 등의 인증·접근권한 검증 누락과 접근통제 취약점을 확인하는 항목, 최신 보안패치를 적용하는 항목에 ‘미흡’이라고 답했다. 공격 경로를 줄이고 권한 없는 접근을 막으며 알려진 취약점을 제거하는 기본적인 방어조치가 충분하지 않았던 것이다.

문제는 확인된 보안 구멍이 여전히 보완 되지 않은 채 해킹 사고가 이어지고 있다는 점이다. 금융당국은 각사에 수정·보완 조치 일정을 받은 후 조치가 이뤄지고 있는 상황을 계속 확인 중에 있다.

금융당국은 즉각적인 수정·보완 조치에 어려움이 있다는 입장이다. 금융위원회 관계자는 “취약점을 확인해도 바로 수정할 수 없는 경우도 있다”며 “정상적인 시스템 운영에 영향을 줄 가능성이 있고, 공급사의 업데이트가 중단된 경우나 커스터마이징(맞춤형 수정)해 사용하면서 패치가 적용되지 않는 경우 등 다양한 사례가 있다”고 말했다.

금융당국은 공격표면 관리·인증체계·내부통제 등 보안관리 전반을 들여다보는 2차 전수조사도 준비 중이다. 전산시스템의 모든 외부 연결 접점을 목록화하고 인증·접근권한 관리를 강화하는 한편, 최고경영자(CEO)·정보보호최고책임자(CISO)·최고정보책임자(CIO)의 보고체계와 책임범위도 명확히 하도록 할 계획이다.

보안업계에서는 점검과 후속 보완 조치가 함께 이뤄져야 한다고 강조하고 있다. 한 보안업계 관계자는 “긴급점검으로 보안 취약점을 파악한 뒤에도 해킹 사고가 이어졌다는 점에서 신속한 후속 조치에 대한 아쉬움이 남는다”며 “일부 기업에선 아주 기본적인 방어조치조차 미흡한 점이 확인된 만큼, 위험도가 높은 항목부터 보완을 서두르고 즉시 수정이 어려운 경우에는 대체조치가 충분히 이뤄졌는지 확인했어야 한다”고 지적했다. 이어 “향후 2차 점검도 전 금융사의 상세한 취약점을 찾아내는 것만큼이나 후속 관리가 체계적으로 이뤄졌는지가 실효성을 가르는 핵심이 될 것”이라고 덧붙였다.