[글로벌에픽 성기환 CP] KB캐피탈이 외부의 해킹 공격을 받아 고객과 임직원 등 1천800명의 개인정보가 유출되는 보안 사고가 발생했다.

계좌·여신 등 핵심 금융거래 전산망과는 분리돼 있어 직접적인 자산 탈취 우려는 낮지만, 캐피탈사의 핵심 먹거리인 오토금융(자동차 임대) 관련 내부 업무 시스템의 접근 통제 허점이 드러나면서 금융당국의 강도 높은 현장점검을 피하기 어렵게 됐다.
핵심 먹거리 오토금융 업무망 침해…1천800명 정보 노출

13일 금융권에 따르면 KB캐피탈은 전날 홈페이지 공지를 통해 지난 10일 외부의 악의적인 공격으로 사내 일부 시스템에서 개인정보가 유출된 사실을 인지했다고 밝혔다.

이번 사고로 정보가 빠져나간 인원은 고객 20명을 포함해 임직원과 협력업체 직원 등 총 1천800명 규모다. 유출 항목을 살펴보면 고객의 경우 이름과 생년월일, 휴대폰 번호, 주소, 차량번호 등이 포함됐다. 협력사 및 임직원은 사용자 계정과 성명, 휴대폰·직장 전화번호, 부서명, 회사명, 직함 등이 외부에 노출됐다.
사고 발생 당시 국내 인터넷 프로토콜(IP)을 통해 의심스러운 다수의 정보 조회 시도가 포착됐으며, 회사는 이를 감지한 직후 해당 접근 경로를 원천 차단하고 비정상 접근에 대한 실시간 모니터링을 대폭 강화했다.

“직접 금융 피해 없다” 진화 나섰지만…‘2차 사칭 범죄’ 우려 고개

KB캐피탈은 유출 사실을 인지한 당일 금융감독원에 사고 내역을 공식 신고했다. 특히 이번에 침해가 발생한 영역은 임직원들이 업무용으로 쓰는 ‘자동차 임대자산관리시스템’으로, 고객의 신용·금융거래 정보가 보관된 기간계 시스템과는 물리적으로 분리돼 있어 2차 금융 피해와는 무관하다는 입장이다.
하지만 금융보안 업계에서는 비록 직접적인 금융계좌 정보는 빠졌더라도 안심하기는 이르다고 지적한다. 유출된 고객의 차량번호·연락처와 임직원·협력사의 부서·직함·계정 정보가 결합될 경우, 캐피탈사나 제휴 업체를 정교하게 사칭하는 ‘스피어피싱(표적형 피싱)’이나 스미싱 등 2차 범죄에 악용될 여지가 크기 때문이다.

망분리 규제 완화 국면 속 터진 보안 사고…금감원 현장점검 수순

최근 금융당국이 금융권의 인공지능(AI) 및 클라우드 활용을 돕기 위해 망분리 규제를 합리화하는 대신, 금융회사의 자율 보안 책임과 내부통제 기준을 대폭 강화하는 추세라는 점도 KB캐피탈에는 뼈아픈 대목이다.
대형 금융지주 계열의 상위권 여신전문금융회사에서 외부 조회 시도에 내부 시스템이 뚫린 만큼, 접근 권한 관리와 이상징후 탐지 체계(FDS)가 제대로 작동했는지를 두고 당국의 날 선 검증이 이어질 전망이다.

금융감독원은 KB캐피탈이 제출한 초기 대응 내역을 검토한 뒤, 가용 검사 인력이 확보되는 대로 현장에 투입해 정확한 유출 경위와 보안 규정 준수 여부를 면밀히 들여다볼 것으로 관측된다.

[글로벌에픽 성기환 CP / keehwan.sung@daum.net]