고팍스·프라뱅 해킹 침해사고에도…거래소 보안점검 결과 아직 확인중

[이데일리 정윤영 서민지 기자] 고팍스와 프라뱅에서 침해사고가 확인됐지만 금융당국의 디지털자산(가상자산) 거래소 보안 점검은 지연되고 있는 것으로 나타났다. 추가 침해 사고 가능성이 제기되는 가운데서도 금융당국은 다른 금융업권과 가상자산 거래소의 시스템 체계가 다르다는 이유로 긴급 보안 자체 점검 결과에 대한 검증을 마무리하지 못하고 있다.

(사진=이데일리DB)

16일 금융당국에 따르면 지난 14일 공개된 금융권 555개사의 보안 체크리스트 점검 결과에는 가상자산 거래소가 포함되지 않았다. 이번 점검은 공격자 IP 차단과 침해 시도·피해 여부 확인, 외부 노출 시스템의 취약점 관리, 강화된 인증절차 적용, 실시간 보안관제 등 12개 항목에 걸쳐 진행됐다.

금융위 관계자는 “가상자산 거래소에도 체크리스트를 모두 배포했지만, 취합된 555개사에는 가상자산 거래소 내용이 들어가 있지 않다”고 말했다. 이어 거래소는 전자금융거래법 적용 회사와 시스템·체계가 달라 제출 내용을 검증하고 확인하는 데 시간이 더 걸리고 있다고 설명했다. 당국은 다른 금융업권의 결과를 신속히 공개할 필요가 있어 거래소를 제외한 집계부터 발표했다고 말했다.

문제는 거래소에서도 이미 침해사고가 확인됐다는 점이다. 금융위는 지난 14일 신진창 사무처장 주재로 열린 ‘제2차 긴급 상황대응 회의’에서 신한은행 침해사고 전후로 사고 발생이 확인된 업체가 총 16곳이라고 밝혔다. 이 가운데 가상자산사업자는 고팍스 운영사 스트리미와 프라뱅이다.

당시 당국은 금융회사들이 공유된 공격자 IP 등을 바탕으로 침해 여부를 확인하고 있어 사고 발생 업체가 더 늘어날 수 있다고 설명했다. 추가 사고 가능성을 열어둔 상황에서도 거래소의 자체점검 결과는 검증이 끝나지 않은 셈이다.

프라뱅이 게시한 공지에 따르면 지난 2일 외부 비인가자가 비정상적인 방법으로 일부 서비스에 접근해 고객 약 20명의 정보가 유출됐다. 유출 항목은 이름(한글·영문), 성별, 국적, 생년월일, 연락처, 주소, 직장명, 직장주소, 직장전화번호, 부서명, 직위명 등 총 12개다. 이 가운데 연락처·주소·직장명·직장주소·직위명은 암호화된 상태였다.

고팍스는 비정상적인 로그인 시도가 있었으나, 이상거래탐지시스템을 통해 징후를 포착해 대응했으며 고객 자산 피해는 발생하지 않았다고 밝혔다. 해당 계정에 대한 조치와 개별 통지, 당국 보고도 진행했다는 설명이다. 고팍스 관계자는 “기존에 해킹된 사이트와 겹치는 고객들의 이메일과 비밀번호 정보로 로그인 시도를 한 것 같다”며 “확인해서 조치를 취한 상태”라고 말했다.

다른 금융업권에서는 보안 관리의 미흡사항이 구체적으로 확인됐다. 박민규 더불어민주당 의원실을 통해 입수한 금융권 IT 보안 자체점검 실시 결과에 따르면, 미흡사항이 가장 많이 나온 항목은 최신 보안패치 적용이었다. 미흡사항을 보고한 130곳 중 76곳(58.5%)이 이 항목에서 미흡하다고 답했다. 제조사 기술지원이 종료된(EoS) 장비 관리가 36곳(27.7%)으로 뒤를 이었다.

비정상적인 대량 호출과 자동화 봇 공격을 막는 요청 임계치 제한(Rate Limiting) 항목에서 25곳이 미흡하다고 답했다. 비정상 URL 요청이나 관리자 계정 접근 시도 등 의심 행위를 탐지하는 모니터링 체계 항목에서도 25곳이 미흡했다.

업권별로는 전자금융업과 온라인투자연계금융업에 미흡사항이 몰렸다. 미흡사항을 보고한 130곳 가운데 전자금융업이 53곳, 온라인투자연계금융업이 18곳으로 두 업권이 71곳(54.6%)을 차지했다. 이어 금융투자 19곳, 여신전문 12곳, 저축은행 11곳, 보험 7곳, 은행 6곳, 신용정보 3곳, 기타 1곳 순이었다.