연합뉴스신한은행에서 유출된 고객정보에 연계정보(CI)·연소득·대출한도까지 포함된 이유는 대출모집인용 간편조회 페이지가 뚫린 데 있었던 것으로 파악됐다.
다만, '신한 슈퍼쏠' 등 인증서 기반 뱅킹 서비스는 이번 공격으로 뚫릴 수 없는 구조라는 게 은행 측 설명이다. 정상혁 신한은행장은 사과문을 내고 "고객과 국민 여러분께 심려를 끼쳐 드린 점 깊은 사과의 말씀을 드린다"고 밝혔다.
대출모집인용 간편조회 페이지가 뚫렸다
1일 신한은행과 금융당국 등에 따르면, 외부인이 해킹으로 뚫은 곳은 신한은행 대출모집인들이 자신이 접수한 대출의 진행 상황을 확인하는 간편조회 페이지다. 대출모집인은 금융회사와 위탁계약을 맺고, 대출 상품을 모집(알선·중개)하는 개인 또는 법인이다. 쉽게 말해, 은행·저축은행·캐피탈사 등의 대출 상품을 대신 영업해주는 사람들이다.
대출모집인은 은행 직원이 아니어서 내부 전산망에 접근할 권한이 없다. 그런데 고객이 대출 진행 상황을 문의할 때마다 매번 영업점에 전화해 확인할 수 없다 보니, 대출모집인의 이름과 주민등록번호, 휴대폰 번호를 입력하면 인증번호를 받아 로그인하는 방식의 간편조회 서비스를 운영해왔다.
신한은행 관계자는 "인증서로 로그인하는 일반적인 뱅킹 서비스와 달리, 휴대폰 인증 방식의 간편조회 페이지는 보안을 뚫기에 상대적으로 더 수월했던 것 같다"고 말했다. 이어 "기존 인증서 기반 앱이나 뱅킹 서비스는 공격이 와도 뚫리지 않는데, 공격자들이 이 간편조회 서비스의 취약점을 찾아내 공격한 것"이라고 설명했다.
공격은 지난달 29일부터 30일 집중적으로 이뤄졌다. 은행 측은 "29일 오전 9시 30분 조회수가 이상하게 치솟는 걸 보고 인지했다"며 "정상적이라면 대출모집인들의 조회 횟수가 많아야 하루 두어 차례 수준인데, 그게 폭발적으로 늘어 대응에 들어갔다"고 전했다.
문제는 그 다음이었다. 공격자들은 이 간편조회 페이지에서 처음 탈취한 연락처·생년월일 등 정보를, 신한은행 홈페이지·모바일 페이지에 있는 다른 유사 간편조회 서비스에 무작위로 대입해 추가 공격을 벌였다.
탈취한 정보를 가지고 연락처나 생년월일 등을 조회할 수 있는 다른 서비스들에 무작위로 대입해서, 연쇄적으로 고객정보를 추가로 탈취를 시도한 것이다. CI와 연소득, 대출한도 등이 함께 유출된 건 이처럼 여러 간편조회 서비스가 순차적으로 뚫리며 정보가 누적된 결과라는 설명이다.
다만 이번 사고는 비인증 방식의 일부 간편조회 서비스에 국한됐고, 공인인증서나 개별 은행 인증서를 거쳐야 하는 '신한 슈퍼쏠' 등 정식 뱅킹 서비스는 이번 공격과 무관하다는 게 은행 측 입장이다. 은행 관계자는 "인증서를 거쳐야 들어갈 수 있는 서비스는 뚫을 수가 없다고 한다"며 "슈퍼쏠 등은 전혀 관련이 없다"고 거듭 강조했다.
신한은행장 대국민 사과문 "손해 시 전액 보상"
현재까지 파악된 고객정보 유출은 2만 5천여건이다. 유출된 항목은 △주민등록번호(66건) △CI(연계정보) 97건 △연소득 △산출한도 등 대출신청 관련 개인 신용 정보다.
정상혁 은행장은 이날 대국민 사과문을 내고 "정보 유출로 인하여 고객 여러분께서 손해를 입게 되시는 경우 책임을 다해 전액 보상할 것을 약속드린다"며 "개인신용정보 보호 체계 전반을 원점에서 재점검하고, 업무 프로세스 개선 및 임직원 교육 체계를 강화하겠다"고 밝혔다.
주민등록번호와 CI는 전체 유출 규모(약 2만5천명)에 비해서는 적은 편이지만 민감도가 커 은행은 따로 조치를 완료했다. 은행 측은 "해당 고객들에게는 이미 문자 등으로 다 안내를 마쳤다"며 "2차 피해가 발생하면 전액 보상하겠다고 이미 공식적으로 밝혔고, 구체적인 보상 방안도 준비 중"이라고 말했다.
다만 구체적인 보상 금액이나 방식은 "은행이 단독으로 정할 수 있는 사안이 아니라 금융당국과 협의해야 한다"며 "최근 다른 정보유출 사고에서 5만~20만원 수준으로 보상한 사례들이 있어 비슷한 수준이 예상되지만 아직 확정된 건 아니다"라고 전했다.
금융위원회와 금융감독원은 이날 오전 긴급 대응회의를 소집했으며 금융보안원은 전날부터 현장에 나가 사고 경위를 조사하고 있다. 최종 조사 결과 발표까지는 수개월이 걸릴 것으로 전망된다.
신한은행은 비상대책반을 구성하고, 전사적 비상대응체계를 가동 중이다. 외부 IP 차단, 관련 서비스 중단, 신규 보안 정책 적용 등 긴급 조치도 완료했다고 은행 측은 전했다.
영문기사 보기 (View English Article)