박상원 금융보안원장 “해킹 사고 송구, 전 시스템 점검”

박상원 금융보안원장이 최근 상시평가 시스템에서 발생한 해킹 사고에 대해 사과했다. 박 원장은 12일 서울 여의도 콘래드호텔에서 열린 ‘금융정보보호 콘퍼런스 피스콘(FISCON) 2026’에서 모든 시스템을 점검하고 재발 방지 대책을 마련하겠다고 밝혔다.

박 원장은 “금융보안 전문기관으로서 높은 수준의 보안을 유지해야 함에도 불구하고 이번 사고가 발생한 데 대해 송구스럽게 생각한다”고 말했다. 이어 “추가 유출 여부와 사고 원인을 규명하고, 정보보호 체계 전반을 개선하겠다”고 밝혔다. 금융회사의 보안을 뒷받침하는 역할을 충실히 수행하겠다는 뜻도 전했다.

금융보안원은 지난 9일 상시평가 시스템에서 외부의 비정상적인 접근에 따른 정보 유출을 확인했다. 이후 해당 시스템의 접속을 차단하고 금융위원회와 한국인터넷진흥원(KISA)에 신고했다. 상시평가는 금융회사가 개인신용정보를 적절하게 관리·보호하는지 확인하는 절차다. 금융회사의 자체 점검 결과를 금융보안원이 확인해 금융위에 전달한다. 올해 평가 대상은 3000여개 금융회사다. 사고가 발생한 시스템은 평가에 필요한 행정서식 등을 제출하는 데 쓰인다.

금융보안원이 10일 발표한 유출 규모는 개인신용정보 동의서 견본 등 행정서식 약 200건, 서식에 담긴 이름·생년월일 등 개인정보 300여건, 시스템 이용자 정보 350여건이다. 시스템 이용자 정보에는 일부를 가린 이름과 휴대전화번호, 이메일 등이 포함됐다.

금융보안원은 현재까지 확인한 유출 자료에 금융회사 시스템 구성도 등 보안정보와 주민등록번호·개인신용정보 등 고객 민감정보는 없다고 설명했다. 해당 시스템은 취약점 분석·평가 결과를 수집하거나 고객의 금융거래를 처리하지 않는다고 덧붙였다. 공격자는 권한 승인 과정의 취약점을 악용해 금융감독원 권한을 가진 허위 계정을 만든 뒤 자료를 조회하고 내려받았다. 당시 유출 규모는 48개사의 파일 130여개로 추정됐다. 금융위와 금감원은 11일부터 현장 점검에 착수했다.

금융보안원은 관련 금융회사에 유출 사실을 개별 안내했다. 정보가 유출된 이용자에게도 유출 사실과 2차 피해 예방 사항을 안내하고, 2차 피해가 발생하면 적극 배상하겠다고 밝혔다.

올해 개최 20주년을 맞은 피스콘은 금융권의 정보보호 과제와 대응 전략을 논의하는 행사다. 이번 행사는 ‘오늘의 전략이 내일의 금융을 결정한다’는 의미를 담은 ‘나우 포 넥스트 파이낸스(Now for Next Finance)’를 주제로 열렸다. 금융 환경 변화에 따른 대응, 인공지능(AI)·보안 혁신 전략, 사이버 위협 대응 등 3개 분야로 세션을 나눠 금융권의 안전한 AI 도입과 보안 역량 강화 방안을 다뤘다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network