은행 해킹에도 내 예금 안전할까

잇따른 금융권 해킹으로 고객의 계좌번호와 예금 잔액, 대출정보 등이 유출됐다. 현재까지 확인된 사고는 인터넷·모바일뱅킹과 분리된 업무시스템에서 발생했다. 비밀번호와 같은 금융거래를 위한 추가 인증정보는 유출되지 않은 것으로 확인됐다. 계좌번호만으로 돈을 인출할 수는 없지만, 유출된 정보를 이용한 은행 사칭 보이스피싱이나 '통장 묶기' 등 금융사기 위험은 남아 있다.

28일에도 대신증권, 미래에셋자산운용 등 금융투자업계와 가상자산 거래소인 빗썸에서 침해사고가 발생했다. 지난달 하순 신한은행에서 시작된 금융권 연쇄 해킹사고 이후 당국이 전 금융권 555개사에 대해 12개 항목의 체크 리스트를 점검토록 한지 불과 2주만에 또 사고가 터진 것이다. AI(인공지능)가 해커들의 무기가 되면서 침해사고를 막는 것도 그만큼 더 어려워졌다는 것을 방증한다.

사고가 발생한 곳은 은행 직원이나 대출모집인이 사용하는 별도의 업무시스템이다. 상대적으로 관리가 취약했던 곳들이다. 고객이 직접 이용하는 인터넷·모바일뱅킹과는 구분되는 시스템이다.

김호광 베타랩스 대표는 시대에 "해킹의 기본은 강한 곳이 아니라 약한 곳, 방심한 틈을 노리는 것"이라고 말했다. 그는 외부 인터넷과 분리된 내부망에도 유지·보수를 위한 접속 통로가 남아 있어 공격에 악용될 수 있다고 설명했다. 유출된 정보에는 이름과 연락처 외에 금융정보도 포함됐다. 신한은행에서는 연소득과 대출 산출한도 등이, KB국민은행에서는 계좌번호와 예금 잔액, 대출 거래내역, 신용등급 등이 유출됐다.

박찬암 스틸리언 대표도 "언제든 당할 수 있다고 생각하고 당했을 때 피해를 최소화할 수 있도록 시스템을 구성해야 한다"고 말했다. 한 시스템이 뚫려도 다른 시스템까지 침입하지 못하도록 내부망 구조를 설계하고, 실제 해킹을 가정해 보안상 허점을 상시 점검해야 한다는 설명이다.

계좌번호가 유출됐다고 곧바로 예금이 빠져나가는 것은 아니다. 송금에는 별도 인증이 필요하다. 고객의 예금 잔액과 거래내역은 은행 핵심 시스템의 원장에 기록된다. 박 대표는 "계좌번호는 개인이나 법인이 각종 금융거래 과정에서 외부에 여기저기 많이 알려주는 정보"라며 비밀번호 등 추가 인증정보의 유출 여부가 중요하다고 말했다.

'통장묶기'와 같은 금융사기가 발생할 수는 있다. 사기범이 보이스피싱 피해금을 타인 계좌로 보내 지급정지를 유발한 뒤 계좌를 풀어주는 대가로 돈을 요구하는 방식이다. 계좌 주인은 범죄에 가담하지 않았어도 돈을 찾거나 이체하는 데 제약을 받을 수 있다. 김 대표는 사기범이 계좌를 풀어주겠다며 악성 앱 설치를 유도할 가능성도 경고했다. 소득과 대출정보를 이용한 은행 사칭도 우려된다. 사기범이 실제 대출한도를 언급하며 낮은 금리의 대출을 제안한 뒤 선입금이나 기존 대출 상환을 요구할 수 있다.

금융당국은 다음 달 6일까지 2차 피해 특별대응기간을 운영한다. 금융당국 관계자는 "특별대응기간 연장 문제 등도 살펴보겠다"고 말했다.