이름·연소득·대출한도는 물론 일부 고객 주민번호까지 포함 해커, 대출모집인용 서비스서 15시간 넘도록 개인 신상 탈취 신한은행장 “피해 전액 보상” 국내 1위인 신한은행에서 외부 해킹으로 고객 약 2만5000명의 개인신용정보가 유출됐다. 연소득과 대출 산출 한도 등 대출 신청과 관련된 개인 정보는 물론 일부 고객의 주민등록번호까지 포함된 것으로 확인되면서 2차 피해 우려가 커지고 있다. 특히 외부 공격이 최소 15시간 넘게 이어진 것으로 파악되면서 신한은행의 정보 보호 체계가 제대로 작동했는지를 두고도 논란이 일 것으로 보인다. 금융당국은 현재 사고 경위와 피해 범위를 조사하고 있다. 1일 금융권에 따르면 신한은행은 전날 오전 9시께 정보 유출 사실을 확인하고 금융당국에 신고했다. 신한은행 측은 “외부에서 인증을 우회하는 비정상적인 방법으로 일부 서비스에 접근했다”고 밝혔다. 외부 세력의 해킹은 지난달 29일 오전 9시부터 30일 새벽까지 최소 15시간 넘게 이어진 것으로 확인됐다. 은행이 자체 조사한 결과 해킹은 모바일 홈페이지를 통해 시작됐다. 홈페이지에서 대출 모집인들이 자신이 접수한 대출 신청 고객의 승인 여부를 확인하기 위해 사용하는 정보 조회 서비스에 외부 세력이 무단으로 접근했다. 이후 여기에서 확보한 고객 번호를 기반으로 이름과 연락처 등을 조회할 수 있는 서비스에 침입해 고객 정보를 탈취한 것으로 파악됐다. 문제는 공격자가 단순히 서비스에 접근하는 데 그치지 않고 실제 고객 정보까지 빼냈다는 점이다. 특히 대출 관련 정보가 집중적으로 노출된 만큼 향후 이를 악용한 금융사기 등 2차 피해 가능성도 배제하기 어렵다. 현재 금융감독원과 금융보안원은 현장에서 이틀째 정확한 사고 경위와 피해 범위를 파악하고 있다. 현재까지 확인된 개인신용정보 유출 고객은 약 2만5000명이다. 유출 정보에는 고객명, 전화번호, 연소득, 대출 산출 한도 등 대출 신청 관련 정보가 포함됐다. 일부 고객의 주민등록번호 66건과 연계 정보(CI·암호화된 주민등록번호) 97건도 유출된 것으로 확인됐다. 신한은행은 사고를 인지한 뒤 비상대책반을 꾸리고 외부 IP를 차단하는 한편, 관련 조회 서비스를 중단하는 등 추가 피해를 막기 위한 긴급 조치를 취했다. 고객이 자신의 개인정보 유출 여부를 확인할 수 있도록 은행 홈페이지와 신한 슈퍼SOL 앱에 조회 메뉴도 개설했다. 정상혁 신한은행장은 사과문을 통해 “고객과 국민 여러분께 심려를 끼쳐 드린 점, 깊은 사과의 말씀을 드린다”며 “이번 개인신용정보 유출로 인해 고객 여러분께서 손해를 입게 되시는 경우 책임을 다해 전액 보상할 것을 약속드린다”고 밝혔다. 신한금융그룹에서는 지난해 12월 신한카드에서 내부 직원에 의해 가맹점 대표자 19만2000명의 연락처 등 개인정보가 유출되는 사고가 발생한 바 있다. 또 롯데카드의 경우 지난해 외부 해킹으로 297만명의 개인정보가 유출된 사고로 금융당국으로부터 업무정지 1.5개월과 과징금 50억원을 부과받았다. 이번 사고는 해킹 공격으로 시중은행 고객의 개인 신용정보가 대규모로 유출된 최초 사례라는 점에서 주목된다. 금감원에 따르면 2020년 이후 은행 해킹 발생 건수는 12건이었지만, 이로 인해 유출된 개인정보 건수는 모두 합쳐 500건 미만이었다. 기존 은행권 해킹 사례와 비교해 유출 규모와 정보의 민감성 모두에서 파장이 작지 않은 셈이다. 더 큰 문제는 유출된 정보의 성격이다. 단순 연락처뿐 아니라 대출 신청 과정에서 활용되는 정보가 포함된 만큼 보이스피싱이나 대출사기 등 2차 피해로 이어질 가능성도 있다. 특히 외부 공격이 최소 15시간 넘게 이어지는 동안 고객정보가 실제로 탈취된 것으로 확인되면서 신한은행의 이상징후 탐지와 접근 통제 체계가 제대로 작동했는지도 도마에 오를 전망이다. 다만 신한은행은 이날까지 별다른 피해 신고가 접수되지 않았다고 설명했다. 신한은행은 올해 화이트 해커, 인공지능(AI) 보안, 개인정보보호 등 정보보호 분야의 경력직 전문가를 채용하는 등 개인정보 보호를 강화해왔다. 또 신한금융 차원에서 자체 개발한 AI 진단도구로 자산 취약점을 점검하고 모의해킹을 수행해왔다. 그러나 이 같은 노력에도 보안이 뚫리면서 보안 강화 조치의 실효성이 시험대에 오르게 됐다. 정 행장은 “개인신용정보 보호 체계 전반을 원점에서 재점검하겠다”고 밝혔다.