KB국민은행(왼쪽)과 신한은행 사옥 전경 [사진= 각 사 제공]

하루 은행 2곳 해킹 당해, 신한 2.5만명·KB 119명

핵심 전산망 밖 업무시스템서 허점…금융당국 조사

[디지털데일리 이호연기자] 신한은행에 이어 KB국민은행에서도 고객정보 유출 사고가 발생하면서 은행권의 보안·내부통제 체계가 다시 도마에 올랐다.

핵심 금융거래 시스템이 아닌 대출모집인 서비스와 직원용 업무지원 시스템 등에서 잇따라 허점이 드러나면서, 주변 업무 시스템의 보안 관리가 상대적으로 느슨했던 것 아니냐는 지적이 나온다.

2일 국민은행은 “119명의 개인 정보가 외부 침해에 의해 유출됐다”며 “정보 유출로 인한 고객 피해가 발생할 경우 전액 보상하겠다”고 밝혔다.

국민은행은 지난달 30일 비정상적인 외부 접근으로 119명의 고객 정보가 빠져나간 것을 파악하고, 금융당국과 함께 정확한 사고 경위를 파악중이다.

정보 탈취가 이뤄진 곳은 직원들이 사용하는 모바일 업무지원 시스템이다. 인터넷뱅킹이나 모바일뱅킹 등 고객이 직접 금융거래에 이용하는 시스템과는 분리돼 있다는 게 국민은행 측 설명이다. 금융당국은 외부 침입 경로와 유출 정보의 종류, 추가 피해 가능성 등을 들여다보고 있다.

불과 하루 전에는 신한은행에서 고객 약 2만5000명의 개인·신용정보가 유출된 사실이 확인됐다. 유출 정보에는 이름과 전화번호, 연소득, 대출 산출한도 등이 포함됐으며 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 빠져나갔다.

신한은행 사고는 다른 은행과 달리 대출모집인이 모바일 홈페이지에서 대출 처리 현황을 간편 조회할 수 있도록 한 전용 서비스의 인증 절차가 공격 대상이 됐다. 외부 비인가자가 본인 확인 과정의 허점을 파고들어 고객정보를 반복적으로 조회한 것으로 알려졌다. 이 과정에서 인공지능(AI) 에이전트 도구 흔적이 발견돼, 기존 공격 수법에 AI가 결합하면서 취약점 탐색과 공격 속도가 한층 빨라질 수 있다는 우려까지 나왔다.

정상혁 신한은행장은 “무거운 책임을 통감한다”며 직접 사과문을 내고, 정보유출에 따른 금전적 피해 발생 시 전액 보상 방침을 밝혔다.

두 사고 모두 은행의 핵심 금융거래 전산망이 직접 뚫린 것은 아니지만, 주변 업무 시스템이 외부 공격에 뚫리면서 관리 문제가 부각됐다. 특히 금융회사는 여러 내부 시스템에 고객 식별정보와 대출·소득 정보가 연계돼 있어, 인증이나 접근통제 과정의 작은 허점이 보이스 피싱 등 2차 피해로도 이어질 수 있다.

이에 보안업계에서는 시스템별 취약점 점검을 넘어 고객정보가 이동하는 전체 업무 흐름을 기준으로 접근권한과 인증 체계를 재점검해야 한다는 목소리가 나온다. 정보보호 예산과 전담 인력을 확대하고, 외부 연계·업무지원 시스템까지 상시 점검 범위를 넓혀야 한다는 주문이 뒤따른다.

금융감독원은 국민은행과 신한은행에 대해 긴급 현장조사를 벌이며 유출 경위와 보안관리 실태 등을 들여다보고 있다. 조사 과정에서 법규 위반이나 내부통제 관련 중대한 문제가 확인되면 검사로 전환될 것으로 보인다.

은행권 연말 인사에도 부담으로 작용할 전망이다. 5대 은행은 모두 연말 행장 인선을 앞두고 있다. 이환주 국민은행장은 2025년 취임해 첫 임기를 보내고 있으며, 정 행장은 2023년 취임 후 한 차례 연임해 현재 두 번째 임기를 수행 중이다. 두 사람의 임기는 모두 오는 12월 31일 만료된다.

은행권 관계자는 “비대면·전산화가 빨라지면서 관리해야 할 시스템과 접점도 크게 늘고 있다”며 “피해 규모와 경중을 따져 대응해야겠지만 모든 외부 공격을 완벽히 차단하는 데는 현실적인 한계가 있다”고 말했다.

그러면서 “은행권에 보다 엄격한 책임을 묻는 흐름은 불가피하더라도, 사고 발생 자체만으로 ‘금융판 중대재해’식 처벌 논리에 치우치기보다 실제 관리상 과실과 대응 적정성을 함께 살펴볼 필요가 있다”고 덧붙였다.