지역농협·신협·산림조합 등 포함

금감원 사칭해 130여개 파일 유출

기존 해킹 시도 IP와 일치 사례 없어

금융위 현장점검·경찰 수사 착수

11일 서울 여의도 금융투자센터빌딩 로비의 금용보안원 여의도사무소 안내 문구. [연합]
11일 서울 여의도 금융투자센터빌딩 로비의 금용보안원 여의도사무소 안내 문구. [연합]

[헤럴드경제=김서현 기자] 금융보안원 해킹 사고로 정보가 유출된 금융회사 48곳이 모두 상호금융권인 것으로 확인됐다. 지역농협과 신협, 산림조합 등이 피해를 입었으며 다른 금융업권에서는 피해가 확인되지 않았다. 공격에 동원된 인터넷주소(IP) 236개도 전부 국내 IP로 파악됐다.

11일 금융권에 따르면 이번 사고로 상호금융기관 48곳에서 제출한 파일 130여개가 외부로 유출된 것으로 추정된다. 금융보안원 관계자는 “피해를 입은 48곳은 모두 상호금융권”이라며 “지역농협과 신협, 산림조합 등이 대부분이고 다른 업권은 없다”고 밝혔다.

유출 자료에는 이름과 생년월일 등이 담긴 개인정보 300여건과 시스템 이용자 정보 350여건이 포함됐다. 시스템 이용자 정보의 경우 이름과 휴대전화번호 일부가 가려진 상태였다. 개인신용정보 동의서 샘플을 비롯한 행정서식도 약 200건 유출된 것으로 파악됐다.

공격에 사용된 IP는 총 236개로 모두 국내 IP였다. 금융보안원 관계자는 “공격 IP가 236개로 많은 편인데 전부 한국 IP라는 점이 특이하다”며 “기존에 해킹을 시도했던 IP와는 하나도 겹치지 않는다”고 말했다. 이어 “어떤 세력인지 아직 파악되지 않아 조사 중”이라고 덧붙였다.

피해가 상호금융권에 집중된 이유에 대해서는 “해커가 자료를 조회하는 과정에서 상호금융 파일이 먼저 나타나 이를 빼내다가 접속이 차단됐을 가능성이 있다”며 “상호금융만 특별히 공격받은 이유는 특정하기 어렵다”고 설명했다.

해킹은 금융감독원과 동일한 접근 권한을 가진 가짜 계정을 통해 이뤄진 것으로 전해졌다. 해커가 금융보안원의 권한 승인 절차에 있는 취약점을 이용한 것으로 실제 금감원 계정이 탈취된 것은 아니다. 금융보안원은 지난 9일 오후 비정상적인 접속 움직임을 포착하고 오후 2시 19분 정보보호 상시평가 사이트 운영을 중단했다. 해당 사이트는 금융회사들이 정보보호 평가에 필요한 자료를 제출하는 곳으로 현재까지 접속이 차단된 상태다.

금융위원회는 이날 오전부터 금융보안원 현장에서 사고 경위 등을 점검하고 있다. 금감원 인력도 점검에 협조하고 있으나 금융위가 주관하는 조사다. 금융보안원 관계자는 “금융위에서 현장점검을 나와 진행하고 있고 금감원 인력도 협조하고 있는 것으로 안다”며 “언제까지 점검할지는 알 수 없고 현재로서는 추가적인 조사가 필요해 보인다”고 말했다.

경찰 수사도 진행 중이다. 금융보안원은 지난 10일 경찰의 연락을 받고 공격에 사용된 IP에 대한 추적 수사를 의뢰했다. 서울경찰청 사이버수사대가 사건을 맡아 수사에 착수했다.


snsd@heraldcorp.com