금감원, 사이버증권거래 보안강화

금융감독원은 지난 17일 지방의 모대학 연구원이 ‘사이버증권거래시스템’(HTS)상에서 고객의 비밀번호를 알아내 시세를 조작한 사고가 일반적인 ‘해킹’과는 접근방식이 다르다고 보고, 대책 마련에 착수했다.
이만식 금감원 정보기술국장은 18일 “이번 사고는 범인이 자신이 거래하고 있는 증권사의 HTS에 합법적으로 등록(log―on)한 후, 별도의 ‘비밀번호찾기(Caching)’프로그램을 만들어 시스템 내부에서 비밀번호를 알아냈다는 점에서, 외부전산망을 통해 침투하는 일반적인 ‘해킹’수법과는 성격이 다르다”고 설명하고, “어떻게 범인이 200만번 이상 무제한적으로 고객 비밀번호를 추출할 수 있었는 지에 대한 정확한 진상파악에 나서고 있다”고 덧붙였다.

금감원은 특히, 이번 사고의 원인을 ▲자바(java)기반 HTS시스템 자체의 불안정 ▲또는 증권사의 HTS시스템의 운영 소홀 등 두 가지로 압축시키고, 원인이 파악되는 대로 금융권 전체의 ‘온라인 금융거래시스템’에 대한 보안지침을 수정, 보안지도를 대폭 강화할 계획이다.

◈도마에 오른 ‘자바’ 〓 금감원과 경찰청 사이버범죄 수사대는 “자바에 대한 고도의 지식을 가진 범인이 ‘이식성’과 ‘확장성’이 뛰어난 자바의 특징을 역이용했을 것”이라는 데 일단 무게를 두고 있다. 조사가 더 진행되야겠지만, 만약 이번 사고의 원인이 ‘자바프로그램의 결함’으로 밝혀진다면 문제는 심각해진다. 지난 1~2년간 국내 증권사들은 핸드폰· PDA 등을 이용한 ‘모바일 트레이딩’서비스를 위해 자바 기반의 HTS를 경쟁적으로 구축해 왔기 때문이다. “현재로선 자반환경에서 구동되는 금융권의 ‘온라인거래시스템’에 대한 보안지도의 강화가 불가피하다”고 업계는 보고 있다.

◈‘시스템 운영부실’가능성도 커〓이번 사고가 일어난 증권사는 작년까지 증권전산으로부터 HTS시스템을 아웃소싱 해오다, 올해 원장 이관을 마치고 최근에야 ‘자바 HTS‘를 가동한 것으로 밝혀졌다. 이 때문에 금감원은, ‘자바’의 결함보다는 해당 증권사의 ‘시스템 부실운영’에도 초점을 맞추고 있다.

현재 금융기관들은, 일반 고객이 온라인 금융거래시 자기 계좌의 비밀번호를 3~5회 연속해서 잘못 입력(오류입력)하면, 거래를 자동정지시키는 안전장치를 갖추고 있다. 이 규정은 금융기관 내부 직원에게도 똑같이 적용된다. 증권사처럼 ‘위임매매’가 많은 경우는 이같은 ‘입력오류허용‘ 횟수를 10회 정도로 완화시켜 운영하고 있는 정도다. 따라서 ‘입력오류허용’횟수가 HTS시스템상에서 제대로 통제됐더라면, 범인이 200만번에 달하는 비밀번호를 입력하는 일은 불가능했을 것이다. 그 때문에 금감원은 “해당 증권사가 보안지침을 어기고 내부 직원들에게는 이같은 ‘입력오류허용’횟수를 시스템상에서 무제한적으로 풀어놓았을 가능성”도 주시하고 있다.

◈난감한 금감원〓금감원은 그동안 전산장애로 인한 증권거래 중단사고는 많았지만, 실제로 해킹에 의해 ‘범죄요건’이 구성된 사고는 이번이 처음이고, 특히 그동안 예상해왔던 일반적인 해킹의 ‘공격루트’와도 전혀 달랐다’는 점에서 크게 당황하고 있다.

이 때문에 금감원은 ‘내부 고객에 의한 해킹가능성’을 포함한 특단의 보안대책을 강구중이다. 이밖에 금감원이 지난해부터 ‘모의해킹’을 실시하는 등 온라인 금융범죄에 적지않게 대비해왔지만, 근본적인 예방을 위해서는 현재 30여명 정도에 불과한 IT검사인력의 대폭적인 확충이 필요하다는 지적도 제기되고 있다.

또한 증권사들의 허술한 보안의식도 문제다. 실제로 해당 증권사는 사전에 ‘이상거래’징후를 포착해 범인의 신원을 파악했음에도 불구하고, 초기대응을 하지못해 결과적으로는 고객 피해를 방치했다.

<박기록기자>