금융권·공공기관 해킹 피해 속출…개인정보 유출 '도미노'

[아이뉴스24 이한얼 기자] 금융권과 대학, 공공기관 등에서 개인정보 유출 사고가 잇따르는 가운데 외부 업체를 통한 2차 피해까지 확산하는 양상이다. 해킹 대상이 고객 상담 위탁업체와 업무용 소프트웨어 기업 등으로 확대되면서 기업 자체 보안을 넘어 공급망 전반의 보안 관리가 시급하다는 지적이 나온다.

15일 관련 업계에 따르면 전날 중소기업중앙회와 인제대학교, 한국조폐공사, 고객 상담 위탁업체 메타엠 등이 개인정보 유출 사실이나 의심 정황을 잇달아 공개했다.

중기중앙회는 소상공인 공제제도인 '노란우산' 홈페이지에서 성명과 주민등록번호 앞 7자리 등 개인정보가 유출됐을 가능성을 공지했다. 노란우산 가입자는 192만명에 달한다.

인제대에서는 학생과 직원의 학번·사번과 성명, 이메일 주소, 휴대전화 번호 등 개인정보 2만4011건이 유출된 것으로 파악됐다. 주민등록번호와 비밀번호 등 고유식별·인증정보는 유출 항목에 포함되지 않은 것으로 조사됐다. 연합뉴스

한국조폐공사가 운영하는 모바일 지역사랑상품권 플랫폼 '착(chak)'에서도 외부 비인가자의 접근으로 이용자 약 3000명의 개인정보가 유출됐다. 메타엠은 일부 고객 상담 시스템이 공격받아 전화번호와 상담 내용 등이 무단 조회되거나 외부로 반출되는 피해를 입었다.

금융권과 주요 기업의 침해 사고도 이어졌다. 금융보안원은 지난 9일 금융회사의 정보보호 평가를 지원하는 '상시평가 시스템'에서 비정상적인 접근이 발생해 48개사의 파일 130여개가 유출된 것으로 추정됐다.

유출 자료에는 금융회사 직원 등의 이름과 생년월일 등 개인정보가 포함됐다. 금융보안원은 고객의 민감한 금융정보나 금융회사 보안정보, 주민등록번호는 유출되지 않은 것으로 파악됐다고 밝혔다.

같은 날 카카오의 업무용 메신저 '카카오워크'에서도 일부 이용자의 개인정보가 유출됐다. 지난 11일에는 '모두의 창업' 프로젝트 참여자 818명의 개인정보가 유출되는 사고가 발생했다.

특히 외부 업체의 보안 사고가 고객사로 번지는 사례도 확인됐다. 가상자산 거래소 코인원은 15일 상담 위탁업체 메타엠의 해킹으로 고객이 상담 과정에서 남긴 이름과 연락처, 계좌번호, 주민등록번호 등 개인정보가 유출됐다고 밝혔다.

과학기술정보통신부는 더존비즈온 사고를 중대한 침해사고로 판단하고 민관합동조사단을 구성해 침입 경로와 피해 범위 등을 조사하고 있다. 연합뉴스

최근 사고는 한 기업이 직접 공격받는 데 그치지 않고 상담·백업·협업 등 외부 서비스를 공유하는 고객사로 피해가 번질 수 있다는 점에서 기존 해킹과 차이가 있다.

기업이 자체 시스템의 보안을 강화하더라도 개인정보를 위탁받은 업체나 공통 소프트웨어의 취약점이 뚫리면 다수 고객사가 동시에 영향을 받을 수 있다. 특히 여러 기관이 사용하는 서비스가 공격받으면 한 번의 침해가 대규모 연쇄 유출로 이어질 위험이 크다.

이에 따라 외부 업체 선정 단계부터 보안 수준을 검증하고 개인정보의 저장 범위와 보유 기간을 최소화해야 한다는 지적이 나온다. 위탁사에 대한 정기 점검과 접근권한 통제, 데이터 암호화, 침해사고 즉시 통보 의무 등 공급망 전반의 보안 관리도 강화할 필요가 있다.

한편 현재까지 유출된 개인정보가 보이스피싱이나 계정 탈취 등 금전적 2차 피해로 이어졌다는 사실은 확인되지 않았다. 관계기관들은 사칭 전화와 문자메시지, 출처가 불분명한 인터넷 주소 등에 주의해 달라고 당부했다.