美 해커, 1년간 금융권 등 한국 274개 기관 농락

274개 전산시스템 크래킹...총 970만명 개인정보 빼돌려

경찰, “인터넷망과 내부망 분리해 패쇄형으로 운영해야” 강조

최근 모아저축은행 대출신청관리시스템을 해킹해 금품을 요구한 혐의로 서울 모지역 고시원에서 검거된 미국인 크래커(해킹기술을 악용하는 자) J씨가 다른 제2금융기관 6개 은행도 추가적으로 해킹해 고객 금융정보 300여만건을 유출한 사실이 밝혀져 충격을 주고 있다.

경찰은 미국인 해커를 고용해 범행을 주도한 피의자 김씨를 검거하고 달아난 공범과 유출된 정보의 사용처에 대해 집중 조사중에 있다고 밝혔다.

경찰 관계자에 따르면 “범인은 7개 금융기관을 비롯 유명 외식업체 고객정보 280여 만건, 우편사업관련 쇼핑몰에서도 고객정보 180만건을 빼냈다”며 “이들은 지난 1년여 동안 274개의 전산시스템을 무차별적으로 크래킹하고 총 970여만명의 개인정보를 유출해 자신들이 운영하는 대출중개업에 활용한 혐의를 받고 있다”고 밝혔다.

경찰은 피해 은행에 관련 내용을 통보하는 한편, 금융위, 금감원, 해당 은행 등 관계기관과 긴급 대책회의를 개최하고 수사과정에서 밝혀진 해킹수법 및 시스템 취약점 보완방안 등 관련 자료를 제공하고 재발방지 및 추가피해 방지를 위한 조치를 취할 것을 당부했다.

이번 크래킹 사건의 총책인 김씨는 34세로 캐나다에서 컴퓨터 프로그램을 전공했으며 직접 해킹을 한 미국인 J씨는 24세로 컴퓨터공학을 전공했다고 한다. 또 추적중인 이씨는 30세로 대출관련 업무를 담당해 왔다고 한다.

지난해 김씨는 대부중개업을 시작하면서 상대적으로 보안이 취약한 제2금융권 시스템을 해킹, 대출자 정보를 빼내 마케팅 자료로 활용해 돈을 벌 계획을 세웠다. 지난해 4월경 외국인 구인광고 사이트를 통해 미국인 J씨를 만났고 J씨를 고용하게 됐다.

이들은 지난해 4월에서 올해 3월까지 약 1년간 서울 강남구 일대 커피숍 등에서 추적을 피하기 위해 노트북으로 ID, 비밀번호를 요구하지 않아 인증이 필요없는 무선인터넷에 접속해 금융기관, 공공기관, 대형 외식업체, 기타 인터넷업체 등 274개 기관의 시스템을 해킹하고 970만건의 고객 정보를 빼낸 것이다.

또 빼낸 정보를 가지고 대출광고 문자메시지를 무차별 전송하거나 대출광고 전화를 거는 등 대부중개업 광고 자료로 활용했다.

한편 미국인 J씨는 김씨가 크래킹 댓가로 약속한 돈을 주지 않자 이미 해킹을 시도해 알게된 모 은행 대출정보 관리 시스템에 접속해 시스템을 사용할 수 없도록 암호화한 후 “20만 달러를 지정된 계좌로 입금시키면 암호화시킨 자료들을 해독해 주겠다. 그렇지 않으면 시스템을 사용할 수 없도록 만들겠다”고 협박했다.

또 그와 같은 문서 파일을 게시하고 시스템에서 확보한 해당 은행 소속 직원 160여명의 휴대전화로 위 내용의 문자 메시지를 발송한 것이다.

경찰 관계자는 “이들은 정보통신망법 정보통신망 침해행위 등의 금지, 비밀 등의 보호법을 위반해 5년 이하 징역, 5000만원 이하 벌금과 공갈미수죄를 적용해 10년 이하 징역, 2000만원 이하 벌금을 받게 될 것”이라고 말했다.

경찰 관계자는 “이번 사건은 해외에서 컴퓨터 프로그래밍을 전공한 주범이 외국인 해커를 고용해 해킹 사업계획서까지 작성해 지속적으로 해킹을 시도한 것”이라며 “앞으로도 이런일이 발생할 수 있기 때문에 제2금융권 시스템 보안이 시급하다”고 강조했다.

경찰이 권고한 내용을 살펴보면, 금융망과 인터넷망이 연결되어 인터넷을 통한 해킹위험이 크다. 따라서 인터넷망과 내부망을 분리하고 패쇄형으로 운영해야 한다는 것이다.

또 금융거래 정보 유출에 따른 2차 금융피해를 줄이 위해 주요 금융거래정보의 암호화 및 보안강화가 시급하다는 점.

일부 은행에서는 대출신청 등 금융서비스 관리·운영을 외주업체에 위탁하는 경우가 많다. 이들 외주업체들은 보안인력이 절대적으로 부족해 위험한 상황이다. 즉 독립된 전산환경 구축과 금융정보에 대한 책임있는 보안관리가 중요하다고 경찰은 강조했다.

한편 미비한 보안정책으로 일부 은행은 접속기록도 보관하지 않았다고 한다. 경찰 관계자는 “사용자 PC, 서버, 네트워크 등 단계별 보안정책 수립 및 세부 접속기록을 유지해 위협분석 및 사후 추적 자료로 활용이 필요하다”고 강조했다.

[길민권 기자(reporter21@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)