신한은행 2만5000명 고객정보 유출…'대출모집인 조회사이트' 보안 허점 드러나

신한은행에서 2만5000여 명의 고객 정보가 유출되는 대규모 해킹 사고가 발생했다. 외부인인 대출 모집인을 위해 마련한 간편 조회 서비스가 보안 취약점으로 악용되면서 고객 개인정보가 대량 유출된 것으로 드러났다. 금융당국은 긴급 현장 조사에 나섰으며, 신한은행은 공식 사과문을 발표하고 전사적 비상대응체계를 가동했다. 이번 사건은 금융기관의 편의성과 보안성 사이의 균형 문제를 다시 한번 수면 위로 끌어올렸다.

신한은행은 1일 공식 성명을 통해 "외부의 비인가자가 인증을 우회하는 비정상적인 방법으로 일부 서비스에 접근해 고객의 개인정보를 유출한 사실을 확인했다"며 "현재까지 약 2만5000명의 고객 정보가 유출됐다"고 밝혔다. 유출된 정보는 상당히 민감한 항목들로 구성되어 있다. 일부 고객의 주민등록번호 66건, 주민번호를 기반으로 암호화된 개인 식별 코드인 연계정보(CI) 97건이 포함되었으며, 고객명, 전화번호, 연소득, 산출한도 등 대출 신청 관련 개인 신용정보도 함께 유출되었다. 이러한 정보들은 신원 도용이나 사기에 악용될 수 있어 고객 피해 우려가 크다.

해킹은 신한은행 모바일 웹페이지의 대출 모집인 전용 로그인 사이트에서 발생했다. 이 시스템은 대출 모집인이 자신이 모집한 고객의 대출 승인 여부 등을 간편하게 확인할 수 있도록 설계된 것이다. 은행 자체 검사 결과, 해킹은 지난달 29일 새벽부터 30일 새벽까지 약 24시간에 걸쳐 이루어졌다. 신한은행은 29일 오전 9시 30분경 해킹 공격을 인지하고 대응했으며, 30일 오전 9시에 금융위원회와 금융감독원에 사건을 보고했다. 문제는 대출 모집인이 공인인증서 등의 강화된 인증 절차를 거치지 않고 간편 조회만으로 접속할 수 있도록 설계된 점에 있다. 이는 외부인에게 열린 통로를 제공하면서도 충분한 보안장치를 갖추지 못한 설계 결함으로 평가된다.

금융당국의 대응은 신속했다. 금융감독원은 신한은행 본점에 IT검사국과 은행검사2국을 투입해 현장조사에 나섰으며, 해킹 공격 경위와 은행의 내부통제 체계를 점검하고 있다. 금융위원회는 디지털금융정책관 주재로 긴급 대응 회의를 열어 은행의 사고 경위, 대응 과정, 해킹 범위, 소비자보호 조치, 재발방지 대책 등을 보고받았다. 금융당국 관계자는 "전통적인 해킹 방식이 아닌 인공지능(AI)을 이용한 공격이라고 보고받았다"며 "정확한 해킹 방식 등은 점검 결과를 지켜봐야 알 수 있다"고 설명했다. 현재 진행 중인 현장조사 결과에 따라 조만간 수시검사로 정식 전환될 것으로 예상된다.

신한은행은 비상대책반을 구성하고 전사적 비상대응체계를 가동했다. 외부 IP 차단, 관련 서비스 중단, 신규 보안정책 수립 등 추가 피해 방지를 위한 긴급 조치를 완료했으며, 정확한 사고 경위와 피해 범위를 확인 중이다. 정상혁 신한은행장은 홈페이지에 게시한 사과문을 통해 "고객 여러분께 심려를 끼쳐 드린 점 깊은 사과의 말씀을 드린다"며 "고객 여러분이 손해를 입게 되는 경우 책임을 다해 전액 보상할 것을 약속드린다"고 밝혔다. 정 행장은 또한 "이번 정보 유출 상황을 엄중히 받아들인다"며 "개인신용정보 보호 체계 전반을 원점에서 재점검하고, 업무 프로세스 개선과 임직원 교육 체계를 강화하겠다"고 강조했다.

이번 사건은 금융기관이 고객 편의를 위해 제공하는 각종 서비스가 역설적으로 보안 취약점이 될 수 있음을 보여준다. 업계 관계자들은 신한은행의 대출 모집인 조회 시스템처럼 외부인에게 개방된 서비스에 대해 더욱 강화된 인증 절차와 접근 제어가 필요하다고 지적하고 있다. 다른 은행의 대출 모집인은 "당행에는 이러한 시스템이 없으며, 외부에서 고객을 모집하다 보니 더욱 깐깐하게 고객 정보를 관리한다"고 말했다. 한편 고객의 로그인 인증이 필요한 뱅킹 서비스는 해킹되지 않았다고 은행과 금융당국은 밝혔다.