은행과 저축은행, 캐피털사에 이어 증권사와 자산운용사, 가상자산거래소에서도 해킹에 따른 개인정보 유출 사고가 잇따르고 있다. 

대신증권에서는 고객 3만8490명의 정보가 유출됐고, 미래에셋자산운용과 빗썸도 외부 비정상 접근에 따른 정보 유출을 확인하고 피해 범위를 조사하고 있다. 미래에셋그룹에서는 미래에셋생명에 이어 자산운용 계열사에서도 침해사고가 발생했다.

대신증권은 비대면 계좌개설 연계 서버, 미래에셋자산운용은 일부 업무용 웹 시스템, 빗썸은 사내 모바일 그룹웨어에서 비정상 접근이 발생했다. 금융당국은 이사회 차원의 보안 강화를 주문하고 정부도 외부 인터넷에 노출된 정보통신 자산의 점검에 나서는 등 대응을 강화하고 있다.

대신증권은 28일 내부 조사 결과 고객 3만8490명의 정보가 유출된 것으로 확인됐다고 밝혔다. 정상 서비스로 위장한 6만여 건의 접속 신호를 열흘에 걸쳐 전수 조사한 결과다. 집계 기준일은 26일이다.

유출된 정보는 고객명과 이메일, 주소, 통신ID, 은행명, 입출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개 항목이다. 이 가운데 입출금 계좌번호와 종합계좌번호, 휴대전화번호는 암호화된 상태로 유출됐다.

대신증권은 17일 투자일임 비대면 증권계좌개설 연계 서버에서 비정상 접근을 처음 감지했다. 공격에 사용된 IP와 우회 접속 IP를 차단하고 금융당국에 신고한 뒤 금융보안원과 함께 침해 범위를 조사했다. 금융감독원도 현장 점검에 나섰다.

대신증권은 현재까지 2차 피해 정황이나 핵심 업무시스템에 대한 불법 접근은 확인되지 않았다고 설명했다. 피해 고객에게는 유출 항목 등을 개별 안내하고, 정보 유출로 인한 손해가 발생하면 법령과 절차에 따라 배상할 방침이다. 외부 연계 시스템의 접근 통제와 이상징후 탐지 체계도 강화하기로 했다.

진승욱 대신증권 대표는 "이번 유출을 엄중하게 받아들이고 있다"며 "고객보호와 재발방지에 필요한 조치를 책임 있게 이행하겠다"고 사과했다.

미래에셋자산운용도 이날 입장문을 통해 일부 업무용 웹 시스템에서 외부 비정상 접근으로 정보가 유출됐다고 밝혔다. 회사는 이상 접근을 확인한 직후 관련 경로를 차단하고 금융위원회와 금융감독원에 침해사고를 보고했다. 현재 외부 보안 전문기관과 사고 원인 및 피해 범위를 조사하고 있다.

미래에셋자산운용은 이번 사고가 정상적인 접근 권한 없이 외부에서 자료를 열람한 사례라고 설명했다. 서버나 데이터베이스(DB)에 직접 침투한 흔적은 확인되지 않았으며 악성코드 감염, 서비스 중단, 금전 피해도 없었다는 것이다.

미래에셋자산운용은 주민등록번호와 여권번호 등 고유식별정보, 민감정보, 개인신용정보는 유출되지 않은 것으로 파악하고 있다. 해당 시스템이 개인 고객 대상 서비스가 아니어서 일반 투자자 정보도 포함되지 않았다는 설명이다. 다만 구체적인 유출 항목과 규모는 아직 공개되지 않았다.

미래에셋자산운용은 사고 이후 웹 애플리케이션 방화벽(WAF)을 적용하고 해외 접속과 공격 IP를 차단했다. 취약한 접근 권한을 보완하고 비정상 접근에 사용된 기능도 중단했다. 개인정보보호위원회 신고와 정보주체 개별 통지도 법정 기한 안에 이행할 방침이다.

가상자산거래소 빗썸 역시 지난 27일 사내 모바일 그룹웨어에서 외부 비인가자의 비정상 접근과 개인정보 유출 사실을 확인했다. 빗썸은 외부 접근을 차단하고 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다.

유출된 정보의 종류와 규모는 아직 파악되지 않았다. 빗썸은 직원 정보뿐 아니라 일반 회원 정보가 포함됐을 가능성도 열어두고 조사하고 있다. 피해 범위가 확인되면 홈페이지 등을 통해 고객에게 안내할 계획이다.

금융당국은 잇따른 해킹 사고와 관련해 금융회사 이사회의 적극적인 대응을 주문했다.

이찬진 금융감독원장은 28일 오전 서울 여의도 금감원에서 열린 은행지주 이사회 의장 조찬 간담회에서 "어제는 주요 금투사 쪽에서 전반적으로 해킹 사고가 발생한 것으로 알고 있다"며 "금융회사가 IT 자산을 철저히 관리하고 취약점을 스스로 찾아 제거하는 자율 방어 체계를 조속히 구축해야 한다"고 강조했다. 이사회에도 IT 보안 역량 강화에 앞장서 달라고 당부했다.