은행권 연쇄 정보유출, 외부 업무지원 시스템 점검이 시급하다

오늘의 핵심

신한은행에 이어 KB국민은행과 하나은행에서도 고객정보 유출이 확인됐다. 금융당국은 외부 노출 시스템과 인증·접근통제 점검을 주문했다. 웹·앱 운영사는 고객용 서비스뿐 아니라 직원용 업무도구와 외부 접속 경로까지 즉시 점검해야 한다.

확인된 사실

• 금융당국은 주요 은행에서 정보유출이 연이어 확인되자 금융회사에 보안체계 자체 점검과 공동 대응을 주문했다. 근거 [1] [3]
• 하나은행은 외부 공격으로 고객 89명의 주민등록번호·이름·주소·연락처 등 개인정보가 유출됐다고 밝혔다. 근거 [1]
• KB국민은행에서는 직원용 모바일 업무지원시스템에 대한 비정상적 외부 접근으로 고객 119명의 개인신용정보가 유출됐다. 근거 [2] [3] [4]
• KB국민은행이 침해 대상이라고 밝힌 직원용 시스템은 인터넷·모바일뱅킹 등 고객 금융거래 시스템과 분리돼 있었다. 근거 [2] [4]
• 당국과 금융권의 점검 대상에는 외부 접속 경로, 인증·접근통제 취약점, 이상징후 탐지와 위협정보 공유 체계가 포함됐다. 근거 [1] [3]

왜 중요한가

• 공격 표면은 고객용 웹·앱에 한정되지 않는다. 영업지원 도구, 관리자 화면, 협력사 포털처럼 외부 접속이 가능한 내부 시스템도 개인정보 유출의 출발점이 될 수 있다.
• 금융거래 시스템이 직접 침해되지 않았더라도 주민등록번호와 연락처 등이 노출되면 사칭 연락이나 피싱 같은 2차 피해 위험이 생긴다.
• 여러 조직에서 유사한 침해가 이어질 때는 개별 장애 대응보다 공격 지표와 탐지 규칙을 신속히 공유하는 업계 공동 대응이 중요하다.

inxight의 관점

• 서비스 보안 범위를 공개 웹·앱에서 임직원·협력사용 업무도구까지 확장하고, 모든 외부 노출 자산을 하나의 목록으로 관리해야 한다.
• 네트워크 분리만으로 안전을 가정해서는 안 된다. 인증 강도, 계정 권한, API 접근 범위, 비정상 로그인 탐지와 개인정보 조회 이력을 함께 검증해야 한다.
• 개인정보를 업무 화면에 기본 노출하기보다 마스킹과 최소 조회 원칙을 적용하면 계정이나 시스템이 침해됐을 때 피해 규모를 줄일 수 있다.

실무 체크리스트

• 외부에서 접근 가능한 관리자·영업지원·협력사 시스템과 API를 전수 조사하고 소유 부서, 인증 방식, 처리 개인정보를 자산대장에 기록한다.
• 관리자와 임직원 계정에 피싱 저항형 다중인증을 우선 적용하고, 휴면·공유 계정과 과도한 조회·다운로드 권한을 제거한다.
• 대량 로그인 시도, 비정상 지역·기기 접속, 단시간 개인정보 연속 조회와 대량 반출을 탐지하는 경보 규칙을 점검한다.
• 업무 화면과 로그에서 주민등록번호·연락처 등 민감정보를 마스킹하고 원문 조회와 내보내기에 별도 승인 및 감사 기록을 적용한다.
• 침해가 의심될 때 접근 차단, 세션·토큰 폐기, 로그 보존, 영향 고객 식별과 통지까지 이어지는 대응 절차를 모의 점검한다.