금융위 점검 555곳 중 130곳 보안 미흡, 침해사고 16곳엔 코인 사업자 2곳

• 목록
• 신고

금융위원회가 은행과 코인 사업자 등 금융회사의 사이버 보안 규칙을 더 엄격하게 하자고 제안했습니다. 10월 14일 기준으로 침해사고는 16곳에서 확인됐고, 노출된 고객 정보는 약 10만건입니다. 점검 대상 555곳 가운데 130곳에서는 보안 취약점이 나왔습니다.

금융위는 서울에서 연 두 번째 긴급 대응 회의에서 최근 공격과 업계 전반의 보안 점검 결과를 검토한 뒤 이 제안을 발표했습니다.

배경과 용어 풀이

침해사고는 해킹 등으로 시스템이 뚫리거나 정보가 새어 나간 일을 말합니다. 취약점 점검은 시스템에 보안 구멍이 있는지 찾아보는 일입니다.

이번 점검은 12개 항목짜리 사이버 보안 체크리스트로 진행됐습니다. 금융위는 10월 8일까지 금융회사 555곳의 점검을 마쳤습니다.

점검 결과: 130곳에서 문제 확인

555곳 가운데 425곳은 보안 조치가 체크리스트 요건을 충족한다고 답했습니다. 나머지 130곳은 고쳐야 할 문제가 있다고 확인했습니다. 금융위는 문제가 있는 회사 대부분이 한두 가지 항목만 개선하면 된다고 밝혔습니다.

자주 나온 문제는 오래된 보안 소프트웨어, 약한 감시 체계, 외부에서 접속할 수 있는 시스템의 보호 부족입니다. 최신 보안 업데이트를 설치하지 않은 곳도 있었습니다. 제조사가 지원을 끝낸 시스템을 계속 쓰는 곳도 있었는데, 이런 시스템은 정기적인 보안 관리를 받을 수 없습니다.

상시 보안 감시가 부족한 곳도 있었습니다. 중요한 시스템에 다중 인증을 쓰지 않은 사례도 확인됐습니다. 다중 인증은 비밀번호 외에 문자나 앱 인증 같은 단계를 한 번 더 거치게 하는 방식입니다.

전자금융업자와 온라인 대출업체에서는 미흡 사항이 비교적 많이 나왔습니다. 금융위는 보안에 쓸 수 있는 자원이 상대적으로 적은 점을 이유 중 하나로 봤습니다.

문제가 확인된 회사들은 개선 계획을 냈습니다. 보안 업데이트 설치, 낡은 장비 교체, 감시 인력 확충, 민감한 시스템 접근 제한 등이 포함됐습니다. 금융위는 해당 회사들이 점검 후 개선 조치를 시작했다고 밝혔습니다.

실제 침해사고 16곳, 코인 사업자 2곳 포함

130곳이 모두 침해사고를 겪은 것은 아닙니다. 실제 침해사고는 금융위가 별도로 16곳에서 확인했습니다.

16곳에는 시중은행 4곳, 저축은행 4곳, 대출업체, 전자금융업자, 온라인 투자 업체, 코인 사업자 2곳이 들어 있습니다. 코인 사업자는 고팍스 거래소를 운영하는 스트리미와, 금융위 발표에서 가상자산사업자로 분류된 프라방입니다.

금융위는 확인된 사고 전체에서 고객 정보 약 10만건이 노출된 것으로 추산했습니다. 노출된 정보에는 이름, 전화번호, 이메일 주소, 주민등록번호 등이 포함됐습니다. 금융위는 계좌 비밀번호나 카드 번호처럼 곧바로 무단 거래에 쓰일 수 있는 정보의 노출은 확인하지 못했다고 밝혔습니다.

당국이 제안한 개선 방향

계획된 변화에는 취약점 점검을 더 자주 하는 것, 위협 감시를 개선하는 것, 회사 경영진의 책임을 더 분명히 하는 것이 포함됩니다.

코인 투자자에게 어떤 의미일까

국내 거래소 이용자라면 이름, 전화번호, 이메일, 주민등록번호 같은 정보가 새어 나갔을 때의 2차 피해를 생각해 볼 만합니다. 이런 정보로 사칭 전화나 문자, 피싱 시도가 이어질 수 있기 때문입니다. 비밀번호가 노출되지 않았더라도 거래소를 사칭한 연락은 조심하는 편이 좋습니다.

거래소 보안 기준이 강화되면 점검 주기나 내부 책임 체계가 달라질 수 있습니다. 다만 구체적인 제도와 시행 시점은 앞으로 나올 내용을 봐야 합니다.

내가 쓰는 거래소와 지갑 서비스에 다중 인증이 켜져 있는지, 거래소 공지에 침해사고나 보안 점검 소식이 올라왔는지 함께 확인해 보면 좋습니다.

출처: 코인텔레그래프 - South Korea plans cybersecurity overhaul after attacks hit banks, crypto firms · 크립토뉴스 - South Korea plans tougher crypto security after 16 hacks