한양증권 해킹 사고로 개인정보 31건 유출 빗썸과 같은 그룹웨어가 뚫렸다

한양증권 해킹 사고로 고객과 임직원의 개인정보 31건이 유출됐다. 침입 경로는 외부 그룹웨어 솔루션 다우기술의 다우오피스다. 지난달 27일 빗썸을 뚫었던 것과 같은 통로에서 이번에는 한양증권이 당한 셈이다. 금융투자업계의 연쇄 해킹이 계속되면서 증권가 보안 비상령이 내려졌다.

외부 그룹웨어 다우오피스가 뚫렸다

지난달 29일 한양증권은 사용 중인 외부 그룹웨어 솔루션에 대한 비정상적인 접근이 발생해 일부 정보가 유출된 사실을 확인했다고 3일 밝혔다. 한양증권 해킹 사고를 인지한 직후 외부 접근을 차단하고 솔루션 공급사와 함께 긴급 보안 패치를 완료했다는 게 회사 측 설명이다. 한양증권은 1956년 설립된 중견 증권사로, 여의도에 본사를 두고 있다.

침입 통로가 된 그룹웨어는 다우기술이 공급하는 다우오피스다. 임직원들이 전자결재와 업무 자료 공유에 쓰던 시스템이었는데, 지난달 27일 빗썸의 모바일 그룹웨어를 뚫고 들어갔던 것과 같은 솔루션이다. 빗썸 사고에서는 고객 844명과 임직원 715명의 개인정보가 노출됐었다. 업무 시스템에 고객 정보가 함께 얽혀 있었다는 점이 이번 사고의 특징이다.

같은 솔루션이 두 곳의 금융회사에서 연이어 뚫리면서 외부 그룹웨어 전반에 대한 보안 점검이 불가피하다는 지적이 나온다. 한양증권 해킹 사고의 침입 경로가 임직원 업무 시스템이었던 만큼, 전자결재와 자료 공유가 오가는 곳에 고객 개인정보가 함께 얽혀 있던 셈이다. 빗썸 사고 역시 다우오피스 모바일 그룹웨어를 통한 외부인의 무단 접근이었다. 정확한 해킹 시점과 구체적인 침입 경위는 아직 조사 중이며, 공급사 차원의 근본 대응이 나오지 않으면 같은 취약점을 노린 추가 피해도 배제하기 어렵다.

유출된 정보 31건 주민번호와 계좌번호 포함

이번 한양증권 해킹으로 확인된 유출 정보는 고객정보 15건, 임직원 관련 정보 2건, 일반 개인정보 14건 등 총 31건이다. 항목에는 이름과 계좌번호, 연락처, 주소, 생년월일, 이메일 주소가 포함됐다. 주민등록번호와 운전면허번호까지 빠져나갔고, 주민등록번호가 포함된 정보는 3건으로 파악됐다.

유출 항목은 건별로 다르다는 게 한양증권의 설명이다. 31건 가운데 고객정보가 15건으로 가장 큰 비중을 차지한다. 건수만 보면 적어 보이지만, 증권사는 계좌번호와 주민등록번호를 함께 보유하는 곳이라 파급력이 작지 않다. 이름과 계좌번호, 주민번호가 세트로 넘어가면 금융회사 사칭이나 보이스피싱에 그대로 악용될 수 있기 때문이다. 개인정보가 한 번 외부로 새면 회수가 사실상 불가능하다는 점도 고객들의 불안을 키운다.

한양증권은 관계기관 신고를 지난주에 마쳤고, 한양증권 해킹 피해 고객에게는 개별 안내를 진행할 예정이라고 밝혔다. 추가 유출 여부와 정확한 사고 경위는 아직 조사 중이라 유출 규모가 더 늘어날 가능성도 있다. 회사 측은 조사 결과에 따라 추가 조치를 검토한다는 입장이다. 고객들은 당분간 한양증권을 사칭한 수상한 연락이나 출처가 불분명한 문자 속 링크에 각별히 주의할 필요가 있다.

금융투자업계 연쇄 해킹이 이어진다

이번 한양증권 해킹 사고는 단독 사건이 아니다. 지난달에는 대신증권과 미래에셋자산운용에서도 해킹에 의한 정보 유출 사고가 잇따랐다. 대신증권은 지난달 17일 투자일임 비대면 증권계좌 개설 연계 서버에서 비정상적인 접근을 발견했고, 확인된 유출 고객은 3만8490명에 달한다. 미래에셋자산운용의 사고도 금융당국의 조사 대상에 올랐다.

증권가 해킹이 연쇄적으로 터지면서 업계의 보안 비상은 당분간 이어질 전망이다. 외부 솔루션의 취약점이 여러 회사를 관통하는 구조라면 한 회사의 패치만으로는 끝나지 않는다. 다우오피스를 쓰는 다른 금융회사들의 점검이 시급한 이유다. 한양증권은 매년 분기마다 윤리준법의 날을 정해 전 임직원의 내부통제를 자가점검해왔지만, 외부 솔루션의 허점은 막지 못했다.

금융투자업계 전반의 보안 점검과 함께 고객들의 주의도 필요한 시점이다. 증권사를 사칭한 연락이나 수상한 계좌 이체 요구가 오면 즉시 확인하는 습관이 피해를 막는 첫걸음이다. 개인정보가 한 번 새면 회수가 사실상 불가능하기 때문이다. 한양증권 해킹 사고가 금융권 보안의 경종이 될지 주목된다.

고객이 지금 당장 조심해야 할 것

한양증권 해킹 피해가 확인된 고객에게는 회사에서 개별 안내를 한다. 그 전에 한양증권을 사칭한 전화나 문자가 오면 일단 의심하는 게 맞다. 개인정보 유출 사고 뒤에는 금융사 사칭 보이스피싱이 따라오는 게 일반적이다.

계좌번호와 주민등록번호가 함께 노출됐을 때는 특히 주의가 필요하다. 본인 확인 절차를 빌미로 추가 정보를 요구하거나, 보안 강화를 명목으로 특정 계좌로 이체를 유도하면 바로 끊고 공식 고객센터로 확인해야 한다.

유출 규모는 아직 조사 중이라 늘어날 수 있다. 한양증권은 긴급 보안 패치를 마쳤다고 밝혔지만, 다우오피스를 경유한 사고가 빗썸에 이어 두 번째라는 점에서 같은 솔루션을 쓰는 다른 금융회사들의 추가 점검이 불가피하다. 한양증권 해킹 사고의 여파는 당분간 이어질 전망이다.

개인정보 유출이 의심되면 금융감독원의 개인정보노출자 사고예방시스템에서 노출 여부를 조회할 수 있다. 주민등록번호나 계좌번호가 새었다면 해당 시스템에서 유출 정보를 확인하고 추가 피해 예방 조치를 안내받을 수 있다. 금융사 사칭 시도는 회사 안내 여부와 관계없이 조심해야 한다.

자주 묻는 질문