[뉴스토마토 배희 기자]
미래에셋생명(085620)에서 개인정보 유출 사고가 발생하면서 보험업계에도 보안 경고등이 켜졌습니다. 금융권 연쇄 해킹 사태에서 보험사의 정보 유출이 확인된 건 처음입니다.
27일 금융권에 따르면 미래에셋생명은 전날 고객 개인정보 유출 사실을 공지하고 홈페이지 접근을 차단했습니다. 지난 25일 새벽 홈페이지 관리자 페이지에서 관리자 접속이 아닌 모드가 접근해 정보를 열람한 정황이 발견되면서인데요. 정확한 유출 대상과 항목, 피해 규모는 파악 중입니다.
앞서 교보생명 등 생명보험사에서도 금융권 해킹에 사용된 인터넷주소(IP)의 접근 시도가 확인됐지만 정보 유출로는 이어지지 않았습니다. 이번 미래에셋생명에서 실제 피해가 확인되면서 보험업권도 안전지대가 아니라는 우려가 커졌습니다.
금융당국의 긴급 점검에서 보험사의 보안관리 미흡 사항이 일부 드러나기도 했습니다. 금융당국이 지난 8일까지 전 금융권을 대상으로 12개 항목 체크리스트를 점검한 결과, 보험사 45곳 중 7곳(15.6%)이 미흡 사항을 보고해 조치를 취했습니다. 항목별로는 △공격 표면 관리 3건 △관제 체계 운영 3건 △보안 패치·EoS 관리 6건 총 12건으로 나타났습니다.
보안 인력과 예산 수준도 점검 과제로 꼽힙니다. 국회 정무위원회 소속 강민국 의원이 금융감독원으로부터 제출받은 자료에 따르면 올해 6월 말 기준 IT 인력 중 정보보호 인력 비중은 손해보험 10%, 생명보험 8.4%였습니다. 생명보험은 7개 금융업권(은행·저축은행·손해보험·생명보험·카드·자산운용·증권) 평균인 9.6%를 밑돌았습니다.
정보보호 예산도 비슷한 양상을 보였습니다. 상반기 7개 금융업권 전체 IT 예산은 14조2396억원으로, 이 가운데 정보보호 예산은 1조6726억원(11.7%)이었습니다. 손해보험의 정보보호 예산 비중은 11.9%였지만 생명보험은 11.1%로 평균보다 낮았습니다.
금융당국은 금융권 침해 사고를 계기로 금융사 보안 체계와 관리 시스템을 전수 점검하고 해킹 위협 조기 포착 및 공동 대응 체계를 마련한다는 계획입니다. 아울러 금융사가 상시적으로 면밀한 보안관리를 하도록 제도 기반을 마련하고, 중소형 금융사에 대한 보안관리 지원도 강화한다는 방침을 밝혔습니다. 보험대리점(GA) 등의 보안을 강화하는 방안도 검토하고 있습니다.
금융보안원 관계자는 "금융사들은 외부 노출 자산인 앱이나 웹사이트가 많다"며 "시스템 내부를 직접 해킹하기보다 외부 접점을 타고 들어가는 방식이 주된 공격으로 보인다"고 설명했습니다. 이어 "정밀 조사를 진행하면서 당국과도 지속적으로 회의하고 있다"고 덧붙였습니다.
황석진 동국대학교 국제정보보호대학원 교수는 "보험사에서도 사고가 발생한 것은 상당히 충격적"이라며 "특정 업권만의 문제가 아니라 금융권 전반의 외부 노출 자산 관리와 접근통제에 취약점이 존재할 가능성이 드러나고 있다"고 진단했습니다. 그는 "접근 가능한 모든 접점에 '제로 트러스트(아무도 믿지 않는다)'를 적용하고, 이중 삼중의 인증 체계를 갖춰 운영하는 것이 바람직하다"고 강조했습니다.
26일 미래에셋생명이 개인정보 유출 사실을 공지했다. (사진=미래에셋생명)
배희 기자 SheisHe@etomato.com