금융권 '보안 파수꾼' 역할의 금융보안원마저 해킹에 뚫리자 금융위원회가 긴급 현장점검에 나선 것으로 파악됐다.금융회사의 보안 실태를 점검하고 침해사고 대응을 지원하는 전문기관이 정작 해킹에 뚫리면서 금융권 보안 관리체계의 실효성에도 의문이 제기되고 있다.

11일 금융당국 등에 따르면 금융위원회는 이날부터 금융보안원을 상대로 현장점검에 나섰다. 전날(10일) 금보원 관계자를 불러 자체점검 상황 등을 보고받고 하루 만에 점검까지 나선 것이다.

전자금융거래법상 금융보안원에 대한 감독·검사 권한은 금융위원회에 있으며, 금융감독원은 금융위의 요청에 따라 검사 등을 지원하는 역할을 한다. 금융위는 이번 사고의 발생 경위와 정보 유출 규모, 금융보안원의 대응 조치 등을 살펴볼 것으로 보인다.

금융감독원도 사고가 발생한 상시평가 시스템에 국한하지 않고 금융보안원이 운영하는 전체 시스템의 보안 상태를 원점에서 재점검할 것을 요구한 것으로 파악됐다.

금융보안원은 지난 9일 오후 3시쯤 금융회사 평가를 지원하는 상시평가 시스템에서 정보 유출 사실을 확인하고 즉시 시스템 접속을 차단하는 등 긴급 대응조치를 했다. 다만 신속한 대응에도 일부 정보가 외부로 유출됐다.

해킹당한 시스템은 금융사가 보안 관리 실태를 평가·점검하는 과정에서 필요한 자료를 제출하고 관련 업무를 처리하도록 지원하는 용도로 운영돼 왔다. 금보원의 핵심 보안 시스템은 아닌 것으로 알려졌다.

유출된 자료는 평가 지원을 위해 제출된 행정 서류 위주며 서류에 적힌 금융사 상시평가 담당 직원들의 이메일 주소, 회사 번호 등 일부 개인정보가 함께 빠져나간 것으로 파악됐다.

현재까지 확인된 유출 규모는 △개인신용정보 동의서 샘플 등 행정서식 약 200건 △행정서식에 포함된 이름·생년월일 등 개인정보 300여건 △시스템 이용자 정보(마스킹된 이름·마스킹된 휴대전화번호·이메일 등) 350여건이다. 이름은 마스킹 처리된 상태였고 금융사 고객 정보 일부도 포함된 것으로 전해진다.

정보보호 상시평가 지원시스템은 금융회사가 개인신용정보를 제대로 보호하고 있는지 자체 점검하고 평가자료를 제출하는 온라인 창구다. 신용정보법에 근거한 정보보호 상시평가 업무를 지원하는 시스템이고 올해 평가 대상은 3000여개 회사다. 예를 들어 금융회사가 개인정보 암호화, 접근권한 관리, 침입 탐지·차단 등을 제대로 하고 있는지 점검하고 관련 서류를 제출하는 데 이용하는 시스템이다.

금융보안원은 사고 확인 즉시 금융위원회와 한국인터넷진흥원(KISA)에 신고했다. 추가 유출을 막기 위한 긴급 보안 조치와 함께 사고 원인 및 피해 범위에 대한 정밀 조사를 진행 중이다.

관련 금융회사에는 정보 유출 사실을 개별 안내했으며 현재까지 확인된 정보 외에 추가 유출이 있었는지 면밀히 조사하고 사고 원인을 규명하고 정보보호 관리체계 전반을 재점검해 재발 방지 대책을 마련할 예정이다.

금융보안원 관계자는 "금융보안 전문기관으로서 높은 수준의 보안과 신뢰를 유지해야 함에도 이번 사고로 금융회사와 국민 여러분께 심려를 끼쳐드린 점에 대해 진심으로 사과드린다"고 말했다.

doyeop@news1.kr