OK저축은행 개인정보 유출 518명으로 확대…금융정보 관리 우려 (AI 생성 이미지)
OK저축은행에서 발생한 고객 개인정보 유출 사고의 규모가 확대되면서 금융회사의 온라인 서비스 보안과 개인정보 관리 문제가 다시 주목받고 있다. 기존 대출신청 웹페이지에서 확인된 사고에 이어 모바일 수신서비스에서도 고객정보가 외부로 유출된 사실이 드러났다. 금융거래와 연결되는 정보가 포함된 만큼 사고 수습뿐 아니라 유출 이후 발생할 수 있는 위험을 관리하는 일이 중요한 과제로 떠올랐다.
16일 뉴시스 보도에 따르면 OK저축은행은 내부 시스템을 조사하는 과정에서 모바일 수신서비스 이용고객 268명의 개인정보가 추가로 유출된 사실을 확인했다. 앞서 확인된 250명을 합산하면 전체 유출 대상은 518명이다. 추가 유출 항목에는 이름과 계좌번호를 비롯해 상품명, 잔액, 이율, 최종거래일 등이 포함됐다. 단순한 연락처 정보가 아니라 고객의 금융상품 이용 현황을 파악할 수 있는 정보라는 점에서 주의가 요구된다.
사고의 시작은 지난 12일 확인된 대출신청 웹페이지의 비정상 접속이었다. 당시 OK저축은행은 의심스러운 인터넷프로토콜(IP)과 접속경로를 차단하고 수신·뱅킹 관련 시스템까지 조사 범위를 확대했다. 이후 15일 오전 3시 32분부터 7시 34분까지 약 4시간 동안 모바일 수신서비스 관련 페이지에서도 비정상적인 접근 시도가 있었던 정황을 발견했다. 추가 조사를 통해 고객정보 유출 규모가 늘어난 사실이 확인됐다.
OK저축은행은 추가 피해 사실을 확인한 뒤 유관기관에 필요한 보고와 신고를 마쳤으며 해당 고객에게 문자메시지와 이메일을 통해 개별적으로 알렸다. 해킹이 의심되는 IP와 접속경로를 차단하는 한편 계좌조회서비스의 방어로직을 보완하고 이상행위를 탐지·차단하는 솔루션도 긴급 적용했다. 회사는 이러한 조치 이후 새로운 비정상 접근은 발생하지 않고 있다고 설명했다.
이번 사고에서 살펴볼 부분은 유출된 정보의 성격이다. 계좌번호 자체가 곧바로 금융자산의 인출을 의미하는 것은 아니다. 그러나 이름과 금융상품 종류, 잔액, 거래 시점 등의 정보가 함께 노출되면 특정 고객의 금융거래 상황을 파악하는 단서로 활용될 수 있다. 이러한 정보는 금융회사를 사칭하거나 실제 거래 내용과 연결된 것처럼 접근하는 피싱에 악용될 가능성이 있어 유출 사실과 실제 금전 피해를 구분하면서도 경계할 필요가 있다.
금융소비자 입장에서는 개인정보 유출 통지를 받았을 때 어떤 항목이 노출됐는지 구체적으로 살펴보는 일이 중요하다. 특히 계좌정보나 금융상품 이용내역이 포함됐다면 최근 거래내역을 확인하고 본인이 요청하지 않은 금융 관련 연락이 있었는지도 점검할 필요가 있다. 금융회사 직원이나 고객센터를 사칭하면서 인증번호, 비밀번호 또는 추가 개인정보를 요구하는 연락에는 신중하게 대응해야 한다. 문자에 포함된 링크보다 공식적으로 확인할 수 있는 상담경로를 이용하는 편이 안전하다.
이번 사례는 금융회사의 보안 대응이 최초 발견된 사고 지점에만 머물러서는 안 된다는 점도 보여준다. 대출신청과 예금 관련 서비스는 기능이 다르지만 고객정보를 처리하는 온라인 시스템이라는 공통점이 있다. 따라서 한 서비스에서 비정상 접근이 발견되면 다른 서비스에서도 유사한 취약점이나 이상 징후가 나타나는지 살펴볼 필요가 있다. 접근 차단과 보안 패치뿐 아니라 사고 범위를 정확히 파악하고 고객에게 필요한 정보를 전달하는 절차 역시 중요하다.
OK저축은행은 앞으로 2차 피해 예방을 위한 안내와 상담창구 운영을 통해 피해접수 및 민원 상담을 지원할 예정이다. 다만 이번에 확인된 개인정보 유출과 별개로 실제 금융 피해가 발생했는지는 제공된 내용만으로 판단할 수 없다. 금융소비자는 유출 규모 자체뿐 아니라 어떤 정보가 노출됐고 금융회사가 어떤 보호 조치를 제공하는지 확인할 필요가 있다. 이번 사고는 온라인 금융서비스의 편리함을 뒷받침할 정보보호 체계와 사후 대응의 중요성을 다시 보여주는 사례다. (참고: 뉴시스 보도)