한국, 데이터 유출 피해 금융사 16곳 공개…가상자산 업체 2곳 포함

한국 금융위원회(FSC)는 최근 데이터 유출 피해를 입은 금융회사 16곳 가운데 가상자산 업체 스트리미(Streami)와 프라방(Pravang)을 포함했다고 밝혔다. 금융위가 10월 14일 공개한 명단에는 신한·국민·부산·하나은행과 다른 금융 부문 회사들도 포함됐다. 스트리미는 고팍스 거래소를 운영한다.

금융위는 피해 회사 전체에서 고객 데이터 약 10만 건이 노출된 것으로 추산했다. 노출된 데이터에는 이름, 연락처, 주민등록번호, 이메일 주소가 포함됐다. 금융위는 회사별 내역을 공개하지 않았다. 금융위 영문 발표에 따르면 10월 14일 회의 당시 당국은 유출된 계정 비밀번호나 신용카드 번호를 확인하지 못했다.

금융감독원과 금융보안원은 공격 방식과 사건 간 연관성이 있는지를 조사하고 있다. 조사 당국은 동일한 공격자가 관련됐는지, AI가 사용됐는지도 살펴보고 있다. 당국이 공유한 공격자 IP 주소를 바탕으로 기업들이 시스템을 점검하면서 피해 기업 수가 늘어날 수 있다.

광범위한 보안 점검에서는 확인된 침해 목록 외에도 취약점이 발견됐다. 555개 회사 모두 10월 8일까지 업권 전반의 12개 항목 자체 점검표를 작성했다. 이 가운데 425개 회사는 적절한 조치를 갖췄다고 보고했다. 나머지 130개 회사는 개선이 필요한 부분이 있다고 밝혔다. 미흡한 점은 주로 보안 패치와 모니터링 시스템에 관한 것이었다. 소프트웨어 업데이트가 누락되고 공급업체의 지원이 종료된 시스템 관리가 취약한 사례가 보고됐다. 24시간 모니터링 체계가 없거나 인증·접근 통제에 취약점이 있는 경우도 있었다. 회사들은 개선 계획을 제출했고 시정 조치에 착수했다.

금융위는 외부 연결, 인증, 접근 통제를 종합적으로 점검할 계획이다. 최고경영자(CEO), 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보고 체계와 책임도 명확히 할 방침이다. 한 제안에 따르면 대형 금융회사부터 취약점 평가를 연 2회 이상 실시하도록 할 예정이다. 금융회사와 전자금융업자에 대한 기존 일반 요건은 연 1회 점검이다. 외부 웹사이트는 이미 연 2회 점검을 받아야 한다.

규제 당국은 기업이 탐지한 위협 정보와 AI 위협 수준 정보를 더 신속히 공유할 계획이다. 취약점을 찾아내기 위한 AI 기반 인프라도 구축할 방침이다. 대책에는 중소기업에 대한 보안 지원 확대, CEO 책임 강화, 제재 실효성 제고가 포함됐다. 금융위는 AI 기반 방어를 가능하게 하기 위해 망분리 규제 완화 검토에 속도를 낼 계획이다.

점검의 세부 범위와 일정은 아직 합의되지 않았다. 금융위 발표는 제안된 금융회사 조치가 각각 가상자산 업체에도 적용되는지 명시하지 않았다.