대신증권 고객정보 3만 8,490명 유출…금융권 정보보호 거버넌스 과제 부각

대신증권에서 고객 3만 8,490명의 개인(신용)정보가 유출되는 사고가 발생하면서 금융회사의 정보보호 거버넌스와 내부통제 체계가 다시 주목받고 있다. 금융서비스의 디지털화로 외부 시스템과의 연계가 확대되는 가운데, 개인정보 보호를 단순한 기술적 보안 문제를 넘어 경영진의 책임과 조직 차원의 위험관리 문제로 다뤄야 한다는 과제를 보여준다.

대신증권은 28일 투자일임 비대면 증권계좌 개설 연계서버에 대한 외부의 비정상적인 접근으로 고객 3만 8,490명의 개인(신용)정보가 유출된 사실을 확인했다고 밝혔다.

이번 사고는 지난 17일 해당 서버에서 이상접근 징후가 포착되면서 드러났다. 대신증권은 공격에 사용된 인터넷프로토콜(IP) 주소와 우회접속 IP를 즉시 차단하는 등 긴급 대응조치를 실시했으며, 금융당국에 사고를 신고하고 금융보안원과 함께 침해범위에 대한 정밀조사에 착수했다.

회사 측은 정상적인 서비스 요청으로 위장한 약 6만 건의 접근 신호를 열흘간 조사한 결과, 지난 26일 고객정보 유출 규모와 대상 항목을 확인했다고 설명했다.

유출 대상에는 고객명, 이메일, 주소, 통신ID, 은행명, 입·출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개 항목이 포함됐다. 이 가운데 입·출금 계좌번호와 대신증권 종합계좌번호, 휴대전화번호는 암호화된 상태였다고 회사는 밝혔다.

대신증권은 현재까지 고객의 2차 피해 정황이나 핵심 업무시스템에 대한 해커의 불법 접근은 확인되지 않았다고 설명했다. 다만 추가 피해가 발생하지 않았다는 사실이 최종적으로 입증된 것은 아니어서 지속적인 모니터링과 고객 보호조치가 필요한 상황이다.

이번 사고에서 주목할 부분은 침해가 발생한 시스템이 외부 서비스와 연결되는 비대면 계좌 개설 연계서버라는 점이다.

금융회사는 고객 편의와 업무 효율성을 높이기 위해 다양한 외부 시스템을 연결해 운영한다. 그러나 시스템 간 연결이 늘어날수록 접근 권한과 데이터 이동 경로가 복잡해지고, 보안관리의 범위도 확대된다.

따라서 정보보호 거버넌스는 핵심 거래시스템뿐 아니라 외부 연계서버와 협력업체, 데이터 처리 과정 전반을 포괄해야 한다. 특히 개인정보에 접근할 수 있는 시스템의 권한 설정과 접속기록 관리, 이상징후 탐지, 정기적인 취약점 점검이 조직 차원에서 일관되게 이뤄지는지가 중요하다.

다만 이번 사고의 구체적인 침해 경로와 보안 취약점, 내부통제상 미비점은 아직 공개되지 않았다. 따라서 외부 연계서버에서 사고가 발생했다는 사실만으로 특정 보안조치가 누락됐거나 회사의 관리 의무 위반이 확인됐다고 단정할 수는 없다.

정보보호 거버넌스의 또 다른 핵심은 사고 발생 이후의 의사결정과 책임체계이다.

개인정보 유출 사고에서는 기술적인 침해 차단과 함께 피해 범위 파악, 감독당국 신고, 고객 통지, 추가 피해 예방, 사후 개선까지 여러 부서의 대응이 필요하다. 이 과정에서 경영진이 위험을 적시에 보고받고 필요한 인력과 예산을 배분하며 개선조치의 이행 여부를 점검하는 체계가 중요하다.

대신증권은 사고 인지 직후 이상접근을 차단하고 금융당국에 신고했으며, 금융보안원과 함께 정밀조사를 진행했다고 밝혔다. 향후에는 사고 대응의 적정성뿐 아니라 기존의 위험평가와 예방통제 체계가 충분했는지, 조사 결과가 보안정책 개선으로 이어지는지도 살펴볼 필요가 있다.

고객정보 보호는 금융회사의 신뢰와 직결되는 문제다. 이름과 이메일, 주소 등 개인정보가 유출될 경우 다른 정보와 결합해 금융회사를 사칭한 피싱이나 사회공학적 공격에 악용될 가능성이 있다. 계좌번호 등이 암호화돼 있었다고 하더라도 고객 보호의 필요성이 사라지는 것은 아니다.

대신증권은 정보유출 대상 고객에게 관련 사실과 유출 항목을 개별 안내하고, 피해가 확인되면 신속하게 대응할 방침이다. 개인정보 유출로 손해가 발생한 고객에 대해서는 관련 법령과 절차에 따라 손해배상을 진행할 계획이라고 밝혔다.

재발방지를 위해서는 사고가 발생한 서버의 접근통제를 강화하고 이상징후 탐지·차단 체계를 개선할 예정이다. 외부 연계 시스템에 대한 보안취약점 점검도 확대한다.

진승욱 대신증권 대표이사는 “이번 개인(신용)정보 유출을 엄중하게 받아들이고 있으며, 고객 여러분께 깊이 사과드린다”며 “고객보호와 재발방지에 필요한 조치를 책임 있게 이행하겠다”고 밝혔다.

기업 거버넌스 관점에서 개인정보 보호는 정보기술 부서만의 업무가 아니다. 고객정보를 수집하고 활용하는 사업부서, 보안과 준법감시 조직, 위험관리 담당 부서, 최고경영진이 각각의 역할과 책임을 명확히 하고 상호 점검할 수 있는 체계가 필요하다.

특히 금융회사는 개인정보 보호와 관련한 위험을 주요 경영 위험으로 인식하고, 이사회와 경영진이 관련 보고와 점검 결과를 바탕으로 적절한 감독 기능을 수행할 필요가 있다. 사고가 발생한 뒤 보안 설비를 강화하는 것에 그치지 않고 위험을 사전에 식별하고 통제하는 예방 중심의 관리체계를 갖추는 것이 중요하다.

이번 사고는 대신증권의 정보보호 거버넌스가 실제로 어떻게 운영돼 왔는지, 사고 이후 개선조치가 어느 수준까지 이행되는지 확인해야 할 필요성을 제기한다.

향후 정확한 침해 원인과 내부통제 점검 결과, 고객 피해 여부가 밝혀지는 과정에서 회사의 대응 적정성과 재발방지 대책의 실효성도 보다 구체적으로 평가될 수 있을 것으로 보인다.

금융회사의 디지털 경쟁력이 확대될수록 개인정보 보호는 기술적 보안 역량을 넘어 기업의 책임경영과 신뢰를 판단하는 중요한 거버넌스 과제로 자리 잡고 있다.