금융정보 해킹...2차 피해 현실화 되나?

하루 새 수천만원 인출됐다는 피해사례 잇따라...특단 대책 요구돼

ID·PW 외에 모바일 등 2채널 인증으로 보안 강화 필요

[보안뉴스 김태형] 최근 몇일 새 자신의 금융계좌에서 본인도 모르게 예금이 인출됐다는 피해사례가 계속 발생하고 있다. 이러한 가운데 시중은행의 공인인증서 212개가 해킹으로 유출돼 금융당국이 일괄 폐기한 것으로 알려졌다. 이로 인해 금융정보 해킹 이후의 2차 피해가 현실화 되고 있는 것 아니냐는 우려가 커지고 있다.

금융권에 따르면 한국인터넷진흥원은 지난달 20일 은행 고객 컴퓨터에서 유출된 공인인증서 파일 212개가 모여 있는 국외 서버를 발견해 금융결제원에 통보해 폐기했다는 것.

이번에 폐기된 공인인증서는 국민·신한 등 시중 은행 고객들의 인증서로 해커들이 파밍 수법을 이용해 유출시킨 것으로 추정하고 있다.

이와 관련해 금융당국은 외국 서버로 국내 은행 공인인증서가 이동하는 것을 우연히 발견해 212개를 일괄 폐기했으며 이번 사건으로 해킹 피해는 없는 것으로 밝혀졌다고 설명했다.

하지만 최근 자신의 은행계좌에서 수백에서 수천만원이 자신도 모르게 인출되는 피해를 입은 이용자들이 증가하고 있어 인터넷 및 모바일 뱅킹 이용자들의 두려움이 커지고 있 있다.

더욱이 피해자들은 한결 같이 보안카드나 공인인증서 등을 PC에 저장하지 않고 휴대용 USB 저장장치 등에 별도 보관하고 있었다.

본지에 이 같은 피해 사실을 제보한 A씨는 OO종금 CMA 통장을 확인해 보니 통장에서 피해 전날 450만원 가량이 인출되어 있음을 발견하고 경악을 금치 못했다.

A씨는 “이 사실을 확인한 후, 곧바로 OO종금에 연락을 했고 OO종금 측에서는 내부 해킹의 문제는 아닌 것 같으니 일단 경찰에 신고하라”고 했다면서 “바로 경찰서로 가서 신고를 했으나 경찰 측은 이런 사건에서 범인을 잡기가 쉽지 않다는 말을 들었다”라고 밝혔다.

하지만 A씨는 “자신은 보이스 피싱도 아니었고 보안카드나 공인인증서를 따로 PC에 복사해두지도 않았다. 내 PC가 해킹 당했다고 해도 다른 금융사와 거래하고 있는 돈은 모두 그대로 남아 있었다”라면서 “이런 경우 어떻게 대처해야 하느냐며 OO종금에서는 정말 아무 책임도 없는 것이 맞느냐”고 토로했다.

또 다른 피해자 B씨는 지난 4월 30일 평소와 같이 출근을 해서 금융계좌를 확인 해보니 그동안 모아온 예금과 적금이 이날 새벽에 모두 인출된 사실을 알게 되면서 충격에 휩싸였다.

B씨에 따르면 지난 4월 29일 00시32분을 시작으로 4월 30일 04시14분까지 누군가 OO저축은행에서 제 명의로 범용 공인인증서를 발급받아 3,900여 만원을 대포통장으로 100~200만원씩 나누어 여러 계좌를 통해 이체한 후에 인출해 갔다는 것.

그리고 이 공인인증서를 가지고 OO금고에 가서 1,000여만원을 인출해 총 4,900여만원을 하루 아침에 도난당했다. B씨는 “보안카드와 공인인증서가 모두 제 가방안에 있었고 단 한번도 분실한 적도 없으며 누구에게도 보여주거나 빌려준 적이 없는데 어떻게 된 일인지 이해할 수 없다”라고 말했다.

또한 B씨는 “어떠한 파밍사이트에 접근한 적도 없고 통장비밀번호와 이체비밀번호, 보안카드 번호 등을 유출한 적도 없다는 것.

B씨는 경찰서 사이버수사대에 수사를 의뢰하고 OO저축은행, OO금고에 가서 항의도 해보았지만 공인인증서, 비밀번호, 이체비밀번호, 보안카드번호 모두가 유출되어야 이체가 가능하다는 대답만 들었다”고 밝혔다.

이들 피해자의 공통점은 보안카드나 공인인증서를 PC나 이메일에 보관하지 않고 별도로 가지고 있었고, 인터넷 뱅킹은 안전하다고 믿고 사용해 왔지만 이 같은 피해를 입었다는 것이다.

이와 관련 전문가들은 “공인인증서나 보안카드가 저장되어 있는 휴대용 USB 저장장치를 PC에 연결할 때 해커가 악성코드 등을 이용해 공인인증서 등을 유출하면서 ID나 패스워드, PC에 저장된 보안카드 등도 유출했을 수 있기 때문에 더 강력한 보안대책 마련이 필요하다”고 강조했다.

이에 금융당국은 현재 시범서비스 중인 2채널 인증을 오는 10월부터 인터넷을 통해 은행 및 증권 거래에 의무화할 계획이다. 금융당국 관계자는 공인인증서 등을 개인 PC에 저장하는 것은 위험하지만 이를 원천적으로 차단하기는 어려워 2채널 인증 방식을 도입하면 보완이 된다고 설명했다.

2채널 인증은 해커가 공인인증서와 보안카드를 유출해가도 인터넷 금융거래 시 휴대폰을 통한 문자메시지 인증이나 ARS 질문 등을 통해 본인확인 인증을 한번 더 하는 방식이다. 하지만 금융당국의 보안강화 대책이 너무 늦은 것 아니냐는 비판의 목소리도 높다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)