[2025 국감] 줄 잇는 금융사 해킹 사건…여야 질책 한 목소리 낼 듯

[중앙이코노미뉴스 김수현] 최근 롯데카드 해킹으로 촉발된 금융사 보안 문제가 정치권 전반을 아우르는 공감대를 형성하면서 내달 국정감사의 주요 주제가 될 것으로 전망된다.

특히 올해 들어 금융권에서 굵직한 해킹 사건이 빈번해지면서 김병주 MBK파트너스 회장은 물론 각 금융사의 최고 경영자(CEO)들의 출석 여부에 관심이 모인다.

롯데카드 해킹 사태로 김병주 MBK 회장과 각 카드사 CEO 출석 가능성↑

최근 발생한 롯데카드 해킹 사건이 금융권을 넘어 정치권의 '뜨거운 감자'가 됐다. 특히 이번 해킹 사건에 대한 관심은 여야를 가리지 않는 모습이다. 이에 롯데카드 대주주인 MBK파트너스 김병주 회장은 물론 주요 카드사 CEO의 국정감사 출석 여부에 관심이 집중되고 있다.

지난달 31일 롯데카드는 온라인 결제 서버에 대한 외부 공격으로 200GB 상당의 데이터가 유출됐다.

이로 인해 회원 297만명의 개인정보가 유출됐고, 이 중 카드 부정사용으로 이어갈 가능성이 있는 회원은 28만명이다. 이들의 온라인 신규 거래 등록 시 필요한 △카드번호 △유효기간 △CVC번호 등은 물론 각 고객의 △연결정보(CI) △주민번호 △생년월일 △전화번호 등이 유출됐다.

이에 대해 조좌진 롯데카드 대표는 18일 긴급브리핑을 통해 “고객 여러분의 소중한 정보를 관리하는 금융회사로서 보안관리에 있어 중대한 미흡과 부족함이 있었다는 것은 어떠한 이유로도 용서될 수 없는 일이다”라고 사과했다.

그럼에도 정치권에서는 해당 사안에 대한 국민적 관심과 불안감이 상당한 만큼 관련자들을 국정감사에 불러 자세한 사건의 경위와 책임소재를 따져보겠다는 분위기다.

더불어민주당은 지난 20일 서면브리핑을 통해 "롯데카드 등 관련 기업들은 국민의 불안과 피해를 최소화하기 위해 신속하고 철저하게 대응해야 한다"는 입장을 전했다.

민주당은 "국민의 소중한 개인정보 유출로 인한 2차 피해 우려도 커지고 있고, 이는 단순한 사고가 아니라 국민의 삶을 위협하는 중대한 사안"이라며 "대통령실 역시 사태를 예의주시하고 있으며 국회 또한 초당적 협력으로 대응할 것"을 약속했다.

이어 윤한홍 국회 정무위원장(국민의힘)은 지난 23일 국회에서 열린 관련 간담회에서 "(이번 해킹사견과 관련해) 롯데카드가 숨긴 것은 없는지, 보안 대책은 소홀한 게 없는지 확인해야겠다는 측면에서 롯데카드 대주주인 MBK파트너스의 김병주 회장 출석을 요청했지만 역시나 오늘도 출석하지 않았다"며 "미흡한 점이 있다면 이어지는 국정감사에서 반드시 김 회장을 국회에 출석시킬 수 있도록 조치를 다 하겠다"고 목소리를 높였다.

이와 함께 최근 카드사들이 정보보호 예산을 지속적으로 삭감했다는 정황이 드러나면서 각 회사의 CEO 혹은 정보보호 최고책임자(CISO) 등이 출석을 요청 받을 것이란 관측도 나온다.

강민국 의원실이 금융감독원으로부터 전달받은 '국내 카드사별 정보기술예산 및 정보보호 예산 현황'을 보면 2020~2025년 정보보호 예산이 줄어든 카드사는 △롯데카드(-5.2%p)△우리카드(-4.4%p), △삼성카드(-3.0%p) △BC카드(-1.3%p) △신한카드(-0.7%p) 등으로 나타났다.

웰컴금융 자회사 해킹으로 1TB 넘게 유출…시중은행서는 해킹 정황 포착

저축은행업권에서 대규모 해킹 사고가 일어나고, 이에 더해 최근 모 시중은행에 외부 해킹 공격 정황 발견되는 등 은행권 역시 안전지대가 아니라는 인식이 확산되면서 관련 내용이 국감에서 다뤄질지 주목된다. 

지난 8월 초 웰컴금융그룹은 계열사인 대부업체 웰릭스에프앤아이대부에서 해커들의 공격을 발견하고 금융당국과 한국인터넷진흥원(KISA)에 해당 내용을 보고했다.

러시아계로 추정되는 랜섬웨어 조직 '치린'(Qilin)은 다크웹에서 이번 해킹이 자신들의 소행임을 주장했다. 치린은 "웰컴금융그룹 모든 고객의 데이터베이스를 갖고 있다"며 "고객 이름, 생년월일, 자택·사무실 주소, 계좌, 이메일 등 수많은 정보가 포함된다"고 했다. 이들은 1.024테라바이트(TB) 규모의 데이터를 탈취했다고 하며 파일 중 일부를 게시하기도 했다.

웰컴금융은 내부 정보가 일부 유출됐지만 저축은행 서버는 다른 계열사와 분리됐기 때문에 은행 관련 정보는 안전하다는 입장이지만 아직 금융당국의 정확한 검사 결과가 발표되지 않아 유출 범위가 더 커질 가능성도 있다.

특히 은행권 중 규모가 작은 저축은행권에서 해킹 사고가 빈번하게 나오고 있다. 지난 2020년~2025년 6월까지 발생한 국내 금융업권 해킹으로 유출된 정보는 총 5만1004건(명)으로 집계됐다.

이중 저축은행이 차지하는 비중은 72.5%(3만6974명)에 달한다. 이어 △증권업권 21.3%(1만883명) △카드업권 6.7%(3426명) △생명보험업권 5.2%(2673명) △은행업권 0.9%(474명) 등이 뒤를 이었다.

아울러 상대적으로 해킹에 안전하다고 인식되는 시중은행에서도 올해 해킹시도가 나타나면서 관련 내용이 국감 주요 안건으로 떠오를 수 있다.

지난 5월 금융당국은 한 시중은행에서 사이버 침해 사실을 발견하고 이를 방어한 것이 알려졌다. 당시 해커는 은행 해외지점의 원격 접속 시스템을 통해 권한 설정 파일에 접근하려고 했다. 원격 접속 권한을 통해 내부 접속망까지 침투하려는 목적으로 보여진다. 금융당국과 금융보안원은 이를 인지한 뒤 곧바로 가상사설망(VPN) 장비를 단절하며 침입을 막아냈다.

해킹 우려가 높아지자 우리은행은 지난 19일 인터넷뱅킹에서 제공하던 △예금담보대출 △직장인대출 △신용대출 등 7개 상품에 대한 신규 판매를 중단했고, 신한은행 역시 7월부터 인터넷뱅킹을 통한 개인 대출 신규 가입을 받지 않기로 했다.

보험사GA·자산운용사, 외부서버 공격하는 해킹 방식에 속수무책

올해 보험사 법인보험대리점(GA)에서 대규모의 개인정보 유출 발생한 데 이어 20여곳의 중소형 자산운용사에서도 해킹의 표적이 됐다.

이들 해커들은 각 금융사의 전산관리 외부 업체를 공격하는 수법을 쓰면서 금융 정보를 관리하는 IT기업들에 대한 보안 강화 역시 국감의 주요 주제가 될 것으로 보인다.

지난 4월 유퍼스트보험마케팅과 하나금융파인드 등 GA 2곳에서 해킹으로 인해 다수의 고객정보가 유출되는 사건이 발생했다. GA를 침투한 해커는 다크웹에서 고객 정보 공개를 예고하면서 사건이 수면 위로 올라왔다.

이번 사건은 GA를 지원하던 IT업체 개발자가 해외의 이미지 공유사이트를 이용하는 과정에서 악성코드에 감염됐고, 14개의 GA사의 웹서버 접근 URL과 관리자 ID·비밀번호가 유출됐다.

유퍼스트보험마케팅에서는 고객 349명의 성명·주민등록번호·전화번호 등과 함께 임직원·설계사 559명의 성명·전화번호 등이 유출됐다. 이 중 128명의 경우 가입한 보험계약의 종류, 보험사 증권번호, 보험료 등의 신용정보가 탈취됐다.

하나금융파인드에서는 고객 199명의 개인정보가 유출됐지만 보험계약에 관한 주요 거래정보 등의 유출은 발생하지 않았다.

금융당국은 나머지 12개 GA의 로그기록을 분석해 1개사에서 개인정보 유출 정황을 확인했고, 2개사에서는 침해 정황을 발견했지만 정보가 유출되지 않은 것으로 결론 내렸다.

이와 함께 웰릭스에프앤아이대부를 해킹한 치린은 올 8~9월 국내 중소형 자산운용사 대한 랜섬웨어 공격에 성공했다고 주장하기도 했다. 이들은 △벤코어인베스트먼츠 △에이펙스자산운용 △마제스티자산운용 △멜론자산운용 △토러스자산운용 △엘엑스자산운용 등 국내 중소형 자산운용사 19곳의 이름을 거론했다.

또 다크웹에 △법인실소유자 확인서 △가족관계증명서 △이력서 △계좌 정보 △주민등록증 등이 담긴 샘플 데이터를 공개했고, 해당 업계들에게 정해진 시일 안에 데이터의 ‘몸값’을 달라는 협박을 하고 있다.

치린이 다수의 기업 정보를 탈취한 배경으로는 이들 운용사들이 정보를 저장·관리하는 전산관리업체 지제이텍을 공격했기 때문으로 추측된다.

개인정보보호위원회는 지난 23일 해당 사건을 접수하고 20곳이 넘는 금융사의 정보가 해킹의 대상이 됐을 것으로 보고 있다.