대출사기ㆍ대기업 부실 이어 핵심리스크 `부상`
피싱파밍 등 신변종 해킹 급증 불안심리 확산
금융당국-금융회사 `인력ㆍ조직확충` 대응 총력
피싱파밍 등 신변종 해킹 급증 불안심리 확산
금융당국-금융회사 `인력ㆍ조직확충` 대응 총력
■ 보안 강국이 IT강국이다
지난 10년 동안 금융 서비스가 급격히 변화했다. 그 중에서도 가장 큰 변화는 금융과 IT의 융합이다. 이런 변화로 인해 금융권은 보안 문제에 직면하고 있다. 해킹 등 보안 사고가 발생하면 당장 서비스가 중단되는 것은 물론 금융회사의 신뢰도 크게 손상된다. 대출사기, 대기업부실 뿐 아니라 보안이 금융권의 주요 리스크로 대두되고 있다.
과거에는 오프라인에서 수기로 이뤄지던 금융서비스가 안전히 바뀌었다. 은행, 증권사, 카드사, 보험사 등에서 거의 대부분 업무는 PC와 시스템을 통해 이뤄지고 있다. 대고객 채널도 바뀌었다. 인터넷, 스마트폰을 통해 계좌 이체 등 거래를 할 수 있고 프로그램으로 주식 거래와 보험 상품 가능이 가능해졌다.
한국은행 자료에 따르면 지난해 모바일뱅킹을 포함한 전체 인터넷뱅킹 등록 고객수는 9549만명으로, 전년보다 906만명(10.5%) 늘어나며 1억명 돌파를 눈앞에 두고 있다. 최근에는 인터넷뱅킹 서비스가 스마트폰 기반으로 빠르게 이동하고 있다. 지난해 스마트폰 기반 모바일뱅킹(이하 스마트폰뱅킹) 등록 고객수가 3700만명을 돌파했고, 하루 평균 이용금액이 1조원을 넘어섰다. 전체 인터넷뱅킹 이용건수에서 차지하는 비중도 40%에 달했다.
이런 변화 속에서 보안 위험도 지속적으로 증가했다. 지난 2003년 전국인터넷망이 전면 마비되는 사태가 발생했다. 당시 인터넷이 마비되면서 인터넷뱅킹도 중단돼 국민들이 불편을 겪었다.
2009년 발생한 7.7 분산서비스거부(DDoS) 공격 당시 금융권도 공격을 당했다. 당시 3차에 걸쳐 진행된 DDoS 공격으로 국내 22개 사이트와 미국 14개 사이트가 피해를 입었다. 1차 공격에서는 농협이, 2차에서는 IBK기업은행, 하나은행이, 3차에는 KB국민은행이 포함됐다. 이 공격으로 은행 사이트가 일시 마비되거나 서비스가 지연되는 피해가 있었다.
이때까지 금융권의 보안 문제는 대형 사건의 일부분으로 다뤄졌다. 하지만 2011년 대형사고가 발생하면서 금융권이 큰 충격을 받았다.
2011년 4월초 해커가 현대캐피탈의 175만명 개인정보를 빼낸 후 돈을 요구하는 협박사건이 발생했다. 해킹으로 인한 대규모 정보 유출로 금융권 보안 문제가 대두됐다.
얼마 뒤인 2011년 4월 12일에는 농협 전산망 마비 사태가 발생했다. 농협전산망 마비 사건으로 금융거래가 중지됐으며 4월 30일에서야 완전 정상화를 할 수 있었다. 검찰은 이 사건이 북한의 사이버테러라고 발표해 또 다시 충격을 줬다.
2011년 4월 사건으로 금융권은 보안 사고가 금융의 신뢰를 흔들 수 있다는 인식을 갖게 됐다. 이에 따라 같은해 6월 금융위원회와 금융감독원은 금융권 IT 보안강화 대책을 발표했다. 대책에서 금융당국은 IT보안 관련 최고경영자(CEO)의 책임을 부여하고 정보보호최고책임자(CISO) 지정을 의무화했으며 사고 시 제재수준을 강화했다. 또 IT보안 인프라 개선 및 내부통제 강화 등 기술적 보안관리 강화를 통해 해킹 등 침해사고 발생 가능성을 최소화하고 발생한 침해사고에 대해서는 신속한 위기대응 및 재해복구 체계 구축으로 피해 확산을 차단하기로 했다.
하지만 이런 대책에도 불구하고 2013년 또 다시 대형 사건이 발생했다. 2013년 3월 20일 KBS, MBC, YTN와 신한은행, NH농협은행, 제주은행 등의 전산망이 마비되는 사건이 발생했다. 이에 따라 3개 은행의 인터넷뱅킹과 창구 업무가 일시 중단되는 사태가 발생했다.
금융위와 금감원은 그해 7월 금융전산 보안 강화 종합대책을 발표했다. 금융당국은 단계적으로 금융권의 망분리를 추진하도록 하고 내부통제를 강화하며 CISO 역할을 강화하는 등의 내용을 추진하기로 했다.
이런 대형 사건들 이외에도 금융권에서는 크고 작은 보안사고가 발생했다. 조원진 국회의원(새누리당)이 금융감독원으로부터 받은 `최근 5년 간 개인정보 유출사고 발생 현황`에 따르면 지난 2009년 이후 5년 간 개인정보 유출사고가 발생한 금융기관은 19곳, 236만건에 달했다.
금융사에 대한 직접적인 해킹과 정보유출 뿐 아니라 고객을 대상으로 한 보안 공격도 수년간 계속됐다. 은행, 금융기관 등의 사이트를 똑같이 만들어 고객들에게 금융정보를 입력하도록 유도한 후 돈을 빼내는 파밍 공격이 기승을 부렸다. 또 가짜 은행 뱅킹앱을 만들어서 사기를 치거나 고객 PC를 악성코드에 감염시킨 후 정보를 빼내는 전자금융사기도 계속되고 있다. 최근에는 진짜 은행 사이트에서 금융거래를 할 때 정보를 빼내는 메모리해킹도 이뤄지고 있다. 금감원 자료에 따르면 2011년 9월부터 2013년말까지 피싱 및 파밍 피해신고는 2만2659건에 달한다. 2013년 이후 피싱사이트, 파밍 등 인터넷 기반의 신변종 수법의 비중이 증가하고 있다.
금융당국과 금융회사들은 각종 대책을 추진하며 대응하고 있다. DDoS 공격 이후에 금융사들은 대응 장비를 구매했고 각종 사고가 이어지면서 인력을 늘리고 조직도 확충했다. 또 전자금융사기를 막기 위한 다양한 보안 서비스도 선보이고 있다. 지난해 9월에는 전자금융사기를 막기 위해 추가인증이 도입되기도 했다.
하지만 범죄자들은 숨바쪽질을 하듯이 또 다른 기술, 새로운 방법으로 계속 해킹과 사기행각을 벌이고 있다. 이에 국민들은 불안을 느끼고 금융에 대한 신뢰는 하락하고 있다.
한 금융사 고객은 "특정 은행을 이야기하면 보안 사고부터 떠오르게 되고 그곳과 거래에 불안감이 드는 것이 사실"이라고 말했다. 또 한 금융권 관계자는 "자꾸 보안 사고가 터지면서 작은 사고만 발생해도 고객들이 불안해하고 있다"며 "보안 사고가 터질까봐 금융권이 모두 긴장하고 있다"고 말했다.
이런 불안은 해소되지 않고 가중되고 있다. 2013년말 스탠다드차타드은행, 씨티은행의 일부 고객정보가 유출돼 대출업자에게 넘어간 사실이 알려졌다. 두 은행은 고객들에게 사과하고 대책을 마련하고 있다. 그런데 이어서 2014년이 시작되자마자 초대형 사건이 터졌다. 기름에 불을 붙인 상황이 됐다. KB국민카드, NH농협카드, 롯데카드에서 1억건이 넘는 고객정보가 유출된 것이다. 이에 따라 금융권도 고객들도 모두 공황상태에 빠져들었다.
강진규기자 kjk@
지난 10년 동안 금융 서비스가 급격히 변화했다. 그 중에서도 가장 큰 변화는 금융과 IT의 융합이다. 이런 변화로 인해 금융권은 보안 문제에 직면하고 있다. 해킹 등 보안 사고가 발생하면 당장 서비스가 중단되는 것은 물론 금융회사의 신뢰도 크게 손상된다. 대출사기, 대기업부실 뿐 아니라 보안이 금융권의 주요 리스크로 대두되고 있다.
과거에는 오프라인에서 수기로 이뤄지던 금융서비스가 안전히 바뀌었다. 은행, 증권사, 카드사, 보험사 등에서 거의 대부분 업무는 PC와 시스템을 통해 이뤄지고 있다. 대고객 채널도 바뀌었다. 인터넷, 스마트폰을 통해 계좌 이체 등 거래를 할 수 있고 프로그램으로 주식 거래와 보험 상품 가능이 가능해졌다.
한국은행 자료에 따르면 지난해 모바일뱅킹을 포함한 전체 인터넷뱅킹 등록 고객수는 9549만명으로, 전년보다 906만명(10.5%) 늘어나며 1억명 돌파를 눈앞에 두고 있다. 최근에는 인터넷뱅킹 서비스가 스마트폰 기반으로 빠르게 이동하고 있다. 지난해 스마트폰 기반 모바일뱅킹(이하 스마트폰뱅킹) 등록 고객수가 3700만명을 돌파했고, 하루 평균 이용금액이 1조원을 넘어섰다. 전체 인터넷뱅킹 이용건수에서 차지하는 비중도 40%에 달했다.
이런 변화 속에서 보안 위험도 지속적으로 증가했다. 지난 2003년 전국인터넷망이 전면 마비되는 사태가 발생했다. 당시 인터넷이 마비되면서 인터넷뱅킹도 중단돼 국민들이 불편을 겪었다.
2009년 발생한 7.7 분산서비스거부(DDoS) 공격 당시 금융권도 공격을 당했다. 당시 3차에 걸쳐 진행된 DDoS 공격으로 국내 22개 사이트와 미국 14개 사이트가 피해를 입었다. 1차 공격에서는 농협이, 2차에서는 IBK기업은행, 하나은행이, 3차에는 KB국민은행이 포함됐다. 이 공격으로 은행 사이트가 일시 마비되거나 서비스가 지연되는 피해가 있었다.
이때까지 금융권의 보안 문제는 대형 사건의 일부분으로 다뤄졌다. 하지만 2011년 대형사고가 발생하면서 금융권이 큰 충격을 받았다.
2011년 4월초 해커가 현대캐피탈의 175만명 개인정보를 빼낸 후 돈을 요구하는 협박사건이 발생했다. 해킹으로 인한 대규모 정보 유출로 금융권 보안 문제가 대두됐다.
얼마 뒤인 2011년 4월 12일에는 농협 전산망 마비 사태가 발생했다. 농협전산망 마비 사건으로 금융거래가 중지됐으며 4월 30일에서야 완전 정상화를 할 수 있었다. 검찰은 이 사건이 북한의 사이버테러라고 발표해 또 다시 충격을 줬다.
2011년 4월 사건으로 금융권은 보안 사고가 금융의 신뢰를 흔들 수 있다는 인식을 갖게 됐다. 이에 따라 같은해 6월 금융위원회와 금융감독원은 금융권 IT 보안강화 대책을 발표했다. 대책에서 금융당국은 IT보안 관련 최고경영자(CEO)의 책임을 부여하고 정보보호최고책임자(CISO) 지정을 의무화했으며 사고 시 제재수준을 강화했다. 또 IT보안 인프라 개선 및 내부통제 강화 등 기술적 보안관리 강화를 통해 해킹 등 침해사고 발생 가능성을 최소화하고 발생한 침해사고에 대해서는 신속한 위기대응 및 재해복구 체계 구축으로 피해 확산을 차단하기로 했다.
하지만 이런 대책에도 불구하고 2013년 또 다시 대형 사건이 발생했다. 2013년 3월 20일 KBS, MBC, YTN와 신한은행, NH농협은행, 제주은행 등의 전산망이 마비되는 사건이 발생했다. 이에 따라 3개 은행의 인터넷뱅킹과 창구 업무가 일시 중단되는 사태가 발생했다.
금융위와 금감원은 그해 7월 금융전산 보안 강화 종합대책을 발표했다. 금융당국은 단계적으로 금융권의 망분리를 추진하도록 하고 내부통제를 강화하며 CISO 역할을 강화하는 등의 내용을 추진하기로 했다.
이런 대형 사건들 이외에도 금융권에서는 크고 작은 보안사고가 발생했다. 조원진 국회의원(새누리당)이 금융감독원으로부터 받은 `최근 5년 간 개인정보 유출사고 발생 현황`에 따르면 지난 2009년 이후 5년 간 개인정보 유출사고가 발생한 금융기관은 19곳, 236만건에 달했다.
금융사에 대한 직접적인 해킹과 정보유출 뿐 아니라 고객을 대상으로 한 보안 공격도 수년간 계속됐다. 은행, 금융기관 등의 사이트를 똑같이 만들어 고객들에게 금융정보를 입력하도록 유도한 후 돈을 빼내는 파밍 공격이 기승을 부렸다. 또 가짜 은행 뱅킹앱을 만들어서 사기를 치거나 고객 PC를 악성코드에 감염시킨 후 정보를 빼내는 전자금융사기도 계속되고 있다. 최근에는 진짜 은행 사이트에서 금융거래를 할 때 정보를 빼내는 메모리해킹도 이뤄지고 있다. 금감원 자료에 따르면 2011년 9월부터 2013년말까지 피싱 및 파밍 피해신고는 2만2659건에 달한다. 2013년 이후 피싱사이트, 파밍 등 인터넷 기반의 신변종 수법의 비중이 증가하고 있다.
금융당국과 금융회사들은 각종 대책을 추진하며 대응하고 있다. DDoS 공격 이후에 금융사들은 대응 장비를 구매했고 각종 사고가 이어지면서 인력을 늘리고 조직도 확충했다. 또 전자금융사기를 막기 위한 다양한 보안 서비스도 선보이고 있다. 지난해 9월에는 전자금융사기를 막기 위해 추가인증이 도입되기도 했다.
하지만 범죄자들은 숨바쪽질을 하듯이 또 다른 기술, 새로운 방법으로 계속 해킹과 사기행각을 벌이고 있다. 이에 국민들은 불안을 느끼고 금융에 대한 신뢰는 하락하고 있다.
한 금융사 고객은 "특정 은행을 이야기하면 보안 사고부터 떠오르게 되고 그곳과 거래에 불안감이 드는 것이 사실"이라고 말했다. 또 한 금융권 관계자는 "자꾸 보안 사고가 터지면서 작은 사고만 발생해도 고객들이 불안해하고 있다"며 "보안 사고가 터질까봐 금융권이 모두 긴장하고 있다"고 말했다.
이런 불안은 해소되지 않고 가중되고 있다. 2013년말 스탠다드차타드은행, 씨티은행의 일부 고객정보가 유출돼 대출업자에게 넘어간 사실이 알려졌다. 두 은행은 고객들에게 사과하고 대책을 마련하고 있다. 그런데 이어서 2014년이 시작되자마자 초대형 사건이 터졌다. 기름에 불을 붙인 상황이 됐다. KB국민카드, NH농협카드, 롯데카드에서 1억건이 넘는 고객정보가 유출된 것이다. 이에 따라 금융권도 고객들도 모두 공황상태에 빠져들었다.
강진규기자 kjk@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
