[단독] ‘해킹’ KB·신한 “취약점 없다”더니…당국 점검 도마 작성일 10-23 38 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">금융당국, 290여개 금융사에 자체점검 맡겨 <br>1년 만에 정보 유출…보안 검증 실효성 논란</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Uxqm9QyOiz"> <div contents-hash="ef0130e8bef18d864c6b9270c2225ad2a77f93a528587256cc556bb53de7be7b" dmcf-pid="uMBs2xWIR7" dmcf-ptype="general"> 최근 고객 개인정보 유출 사고가 발생한 KB국민은행과 신한은행이 지난해 10월 보안 자체점검에서는 "취약점이 발견되지 않았다"고 금융당국에 보고한 것으로 드러났다. 금융권의 보안 취약점을 전수 점검하겠다던 금융당국이 실제로는 금융회사에 자체점검을 맡기면서 보안 점검과 사후 검증이 부실했다는 지적이 나온다. </div> <figure class="figure_frm origin_fig" contents-hash="719ed6d18862830a829b53d374ff19adeeb7bcadbfbd4e64f6a994b827fc7d2e" data-idxno="455341" data-type="photo" dmcf-pid="7RbOVMYCdu" dmcf-ptype="figure"> <p class="link_figure"><img alt="이찬진 금융감독원장과 5대은행장이 10월 19일 서울 여의도 국회 정무위원회의에서 열린 금융감독원 등에 대한 국정감사에서 의원 질의를 경청하고 있다. 뒷줄 왼쪽부터 강태영 NH농협은행장, 이호성 하나은행장, 정진완 우리은행장, 정상혁 신한은행장, 이환주 KB국민은행장. / 뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/23/552810-SDi8XcZ/20261023060005204nqnh.jpg" data-org-width="600" dmcf-mid="paI8SXiPMq" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/23/552810-SDi8XcZ/20261023060005204nqnh.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 이찬진 금융감독원장과 5대은행장이 10월 19일 서울 여의도 국회 정무위원회의에서 열린 금융감독원 등에 대한 국정감사에서 의원 질의를 경청하고 있다. 뒷줄 왼쪽부터 강태영 NH농협은행장, 이호성 하나은행장, 정진완 우리은행장, 정상혁 신한은행장, 이환주 KB국민은행장. / 뉴스1 </figcaption> </figure> <p contents-hash="f5078532027a45ffce25ceeeaa2e1863146fa4ffb8c82094f56602515bfff7d5" dmcf-pid="zRbOVMYCRU" dmcf-ptype="general">22일 국회 과학기술정보방송통신위원회 소속 이정헌 더불어민주당 의원이 금융감독원과 금융위원회로부터 제출받은 자료에 따르면 금융당국은 2025년 10월 롯데카드 침해사고 이후 재발 방지를 위해 금융회사와 전자금융업자 290여곳을 대상으로 긴급 보안 자체점검을 실시했다.</p> <p contents-hash="2e805384010e3b95952152bf80eae7f11aabaef0f0ef483f54c55ae478a02a98" dmcf-pid="qeKIfRGhLp" dmcf-ptype="general">이는 지난해 10월 정부가 발표한 '범부처 정보보호 종합대책'의 취지와 차이가 있다. 당시 국가안보실을 중심으로 금융위원회와 과학기술정보통신부, 개인정보보호위원회, 국가정보원, 행정안전부 등 관계부처는 국민 대다수가 이용하는 금융·통신·공공 분야의 IT 시스템 1650개를 대상으로 보안 취약점을 전수 점검하겠다고 밝혔다. 그러나 금융당국은 금융회사들이 스스로 보안 취약점을 확인하고 결과를 보고하도록 했다.</p> <p contents-hash="8ff833d8b806b98991caf6817fe1821cbb2bc35ec2b4a65607e66ac46717b218" dmcf-pid="Bd9C4eHle0" dmcf-ptype="general">문제는 당시 보안 취약점이 없다고 보고한 KB국민은행과 신한은행에서 올해 잇따라 개인정보 유출 사고가 발생했다는 점이다.</p> <p contents-hash="e9890b263a6572e7950de89fe8dd21f9eab806ccd4766f6106e88f8435e6dba7" dmcf-pid="bJ2h8dXSR3" dmcf-ptype="general">신한은행에서는 올해 9월 28일부터 30일까지 고객 2만5729명의 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 유출됐다. KB국민은행에서도 9월 30일 직원용 모바일 업무시스템이 해킹당해 고객 119명의 이름과 전화번호, 주소 등이 유출됐다.</p> <p contents-hash="2b59d434f362e8c81d54f04f970864c2bf2751cd14a4caa6642d15b5d123d3d7" dmcf-pid="KiVl6JZvRF" dmcf-ptype="general">올해 10월 국회 정무위원회 국정감사에서는 신한은행이 해킹 발생 후 사고를 인지하기까지 15시간 26분이 걸린 사실도 드러났다. KB국민은행에서는 해킹 사고 이후 내부 임원이 접속기록 삭제를 지시했다는 의혹까지 제기됐다.</p> <p contents-hash="fe3277b277d3f0703d7359805e0c71b7bee7b0b4b65187c10e8f84597c5bef0f" dmcf-pid="9nfSPi5Tnt" dmcf-ptype="general">금융권뿐 아니라 다른 산업에서도 비슷한 사례가 발생했다. 과학기술정보통신부는 지난해 10월 기업과 기관 831곳에 보안 자체점검을 맡겼다. 당시 '점검 완료'를 회신한 무신사와 위버스컴퍼니(하이브 자회사)에서 올해 개인정보 유출 사고가 발생했다.</p> <p contents-hash="0ce7585b0eb66c893af767c32fd902a74f59da0d4478cbed7f03f1a6df1e1826" dmcf-pid="2L4vQn1yL1" dmcf-ptype="general">같은 시기 점검을 완료했다고 보고한 에쓰오일토탈에너지스윤활유와 SSG닷컴에서도 침해사고 의심 정황이 발견됐다. 두 회사는 개인정보 유출 여부가 확인되지 않았지만 이상 징후를 탐지한 뒤 지난 9월 한국인터넷진흥원(KISA)에 침해사고를 신고했다.</p> <p contents-hash="df27e1f6b95dec6c602907284133f403acfb49783067329d5c59762590dad442" dmcf-pid="Vo8TxLtWJ5" dmcf-ptype="general">이정헌 의원은 "금융당국의 자체점검에서 보안 취약점이 없다고 보고한 은행에서 잇따라 개인정보 유출 사고가 발생했다"며 "금융회사의 자체점검 결과를 그대로 신뢰하는 데 그치지 않고 금융당국이 실제 보안 수준을 객관적으로 검증할 수 있는 체계를 마련해야 한다"고 촉구했다.</p> <p contents-hash="86403fb3509b0982328b1b7ffaf0b9c297b60abf55f5c274b3f3d40c6753891e" dmcf-pid="fg6yMoFYRZ" dmcf-ptype="general">이 의원은 이어 "금융권은 국민의 민감한 개인정보와 금융정보를 다루는 만큼 보안 점검의 실효성이 무엇보다 중요하다"며 "당국은 지난해 점검 과정에서 취약점을 제대로 확인했는지, 개선이 필요한 사항을 놓친 것은 아닌지 철저히 점검하고 형식적인 자체점검이 반복되지 않도록 사후 검증과 관리·감독을 강화해야 한다"고 강조했다.</p> <p contents-hash="455849f13f1608671535ea9ae6daf3a41666573970f6462615af87ed24d8e053" dmcf-pid="4aPWRg3GJX" dmcf-ptype="general">한국보안정책연구원장인 이기혁 중앙대 융합보안학과 교수는 "보안 점검을 건강검진에 비유하면 보통 기본검진 위주로 선별해 진행한다. 시간과 비용이 많이 들어 전수점검은 물리적으로 할 수 없다"며 "IT 환경은 생물과 같아 서버 증설과 버전 업그레이드 등으로 계속 변한다. 금융당국과 은행들이 취약점을 발견하지 못했을 가능성이 있다"고 진단했다.</p> <p contents-hash="d2ca70c5b9f8f7ce0ebc2c033254018bc55cba2fae9552469442b345f8bab3d5" dmcf-pid="8NQYea0HJH" dmcf-ptype="general">김광연 기자<br>fun3503@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 "알면서도 손 못 대는 시한폭탄"…중소 IT현장 발 동동 구르는 이유[긴급진단-PHP 버그 비상②] 10-23 다음 [AI 표준 전쟁 ③] 시시각각 변하는 AI 모델 검증은?…“기존 SW시험 체계론 한계” 10-23 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
