신한은행에서 고객 2만5천여명의 이름과 전화번호, 연소득, 연계정보 등 개인정보가 유출되는 해킹 사고가 발생했다. 신뢰 자산을 최우선으로 하는 금융기관에서 예민한 신용정보가 무더기 유출된 것이다. 정상혁 신한은행장이 대국민 사과문을 발표한 가운데, 금융당국이 긴급 현장 조사에 나섰다.
신한은행은 1일 정상혁 은행장 명의의 사과문을 내어 “일부 고객들의 개인(신용)정보가 유출되어 깊은 사과의 말씀을 드린다”며 “최근 외부 비인가자가 비정상적인 방법을 통해 일부 고객 정보를 유출한 사실을 확인했다”고 밝혔다.
현재까지 2만5천여명의 고객정보가 유출된 것으로 파악됐다. 고객명, 전화번호, 연소득, 직장명 등 대출 신청 관련 정보가 주로 유출됐고, 일부 고객은 주민등록번호(66건)와 이용자 식별정보(CI·97건)까지 노출됐다.
신한은행에 따르면, 해킹 공격은 지난 29일부터 30일 사이 이뤄졌다. 신한은행은 29일 오전 공격 사실을 인지하고 방어에 나섰으나 일부 고객의 정보 유출을 막지 못했다고 한다. 이후 신한은행은 유출 사실을 금융당국에 보고했고, 금융감독원은 1일 오전 현장 검사에 나섰다.
해커들은 은행 보안의 ‘약한 고리’를 노렸다고 한다. 신한은행 모바일 누리집의 대출 모집인용 조회 서비스가 출발점이 됐다. 해커들은 여기서 빼낸 고객번호 등 정보를 토대로 연락처와 생년월일 등을 조회할 수 있는 다른 서비스에 무단 접근해 고객 정보를 탈취했다. 보안 전문가에 따르면 이는 ‘크리덴셜 스터핑’이라는 공격기법으로 해킹에서 흔히 쓰이는 수법으로 전해진다.
김승주 고려대 정보보호대학원 교수는 “(신한은행에 대한 공격은) 해킹 공격이 이뤄지는 전형적인 방식”이라며 “서비스가 추가·변경되는 과정에서 보안 수준이 약화된 것으로 보인다”고 말했다. 국내 대형은행이 전형적인 해킹 공격에 고객정보를 내준 만큼 보안 관리가 허술했다는 비판을 피하기 어려워 보인다.
신한은행은 이번 정보 유출에 따른 고객 피해가 확인될 경우 전액 보상하고, 개인신용정보 보호 체계 전반을 원점에서 점검하겠다고 밝혔다. 고객들은 신한은행 누리집에서 정보 유출 여부를 확인할 수 있다.
안태호 기자 eco@hani.co.kr