아이디·비번만으로 접근 가능…'보안 취약성' 노출
금융보안원 현장 조사 중…결과 발표엔 수개월 소요될 듯
(서울=연합뉴스) 한지훈 기자 = 신한은행에서 유출된 고객 정보는 대출모집인들이 홈페이지 서버에 입력해둔 대출 상담 내용이었던 것으로 전해졌다.
대출모집인이 아이디와 비밀번호만 입력하면 손쉽게 접속할 수 있는 곳에 민감한 고객 정보를 보관한 것이 패착이었다는 지적이 나온다.
정상혁 신한은행장은 1일 홈페이지에 게시한 사과문에서 "외부의 비인가자가 비정상적인 방법을 통해 일부 서비스에서 고객정보를 유출한 사실을 확인했다"고 밝혔다.
유출된 정보는 일부 고객의 주민등록번호 66건, 연계 정보(CI) 97건을 포함해 고객명, 전화번호, 연 소득, 대출 한도 등이다.
유출 피해 고객은 약 2만5천명에 달한다.
신한은행 대출모집인들은 다른 은행과 달리 모바일 버전 홈페이지 'M신한'을 통해 자신이 접수한 대출 처리 현황을 간편 조회할 수 있는데, 이 모집인들의 아이디와 비밀번호가 뚫리면서 일부 정보가 유출됐다는 게 은행 측 설명이다.
다른 곳에서 취득한 아이디와 비밀번호를 로그인에 성공할 때까지 무작위로 입력하는 '크리덴셜 스터핑' 공격이 이뤄진 것으로 추정되고 있다.
이를 두고 은행권 안팎에서는 외부인이 공인인증서 등 정식 로그인 절차를 거치지 않고 접속할 수 있는 서버에 다수 고객 정보를 저장한 것부터 은행의 금융 보안 취약성을 노출한 것이라는 지적이 제기된다.
여러 계정의 반복적인 로그인 시도나 로그인 실패, 비정상적인 IP 등 이상 징후 탐지가 제대로 이뤄지지 않았다는 점도 문제로 꼽힌다.
금융권 관계자는 "모집인이 대출 처리 현황을 홈페이지에서 조회할 수 있도록 한 시스템은 일반적인 방식이 아니다"라며 "비정상 접근을 원천 차단하는 장치도 마련하지 않은 것 같다"고 말했다.
신한은행은 다만, '신한 슈퍼SOL' 등 고객들이 직접 이용하는 애플리케이션과 이번 사고는 무관하다고 강조했다.
은행 관계자는 "이번 사고는 홈페이지 정보 유출로, 정식 인증이 필요한 고객용 뱅킹 앱과는 관련이 없다"고 거듭 선을 그었다.
금융위원회와 금융감독원은 이날 오전 긴급 대응회의를 소집했으며, 금융보안원이 전날부터 현장에 나가 사고 원인을 조사 중인 것으로 알려졌다.
최종 조사 결과 발표까지는 수 개월에 소요될 것으로 보인다.
신한은행은 비상대책반을 구성하고, 전사적 비상대응체계를 가동 중이다. 외부 IP 차단, 관련 서비스 중단, 신규 보안 정책 적용 등 긴급 조치도 완료했다고 은행 측은 전했다.
hanjh@yna.co.kr
(끝)
ADVERTISEMENT
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT