‘해킹’ 눈뜨고 당한 금융사…‘24시 모니터링’ 소홀

현대캐피탈 고객정보 해킹 경로

비밀번호까지 유출됐는데 현대캐피탈 아직 경위 몰라
2월께부터 정보유출 진행
금감원 “규정준수 특별 검사”
다른 제2금융 공격 가능성도

금융권 보안시스템 비상

현대캐피탈 고객정보 보안시스템이 너무 허술했다는 의혹이 나오면서 다른 금융회사에서도 ‘제2의 현대캐피탈 사태’가 터질 수 있다는 우려를 낳고 있다. 금융감독원은 11일 현대캐피탈의 비밀번호 암호화 여부와 서버 운영실태 집중점검을 시작으로 전 금융권을 대상으로 보안점검을 실시한다고 밝혔다.

■ 허술한 금융권 보안시스템 보안 전문가들은 다른 해킹 사고 때와 달리 이번에 유출된 현대캐피탈 고객정보 중에 비밀번호가 들어 있는 점에 주목하고 있다. 비밀번호는 대부분 암호화를 통해 데이터베이스에 보관하고 있는데 이것이 금융권에서는 처음으로 유출된 탓이다.

현대캐피탈 쪽에서는 회사와 제휴를 맺고 있는 현대차 정비업체 서버와 누리집을 잇는 기능 서버, 신용대출 상품인 프라임론을 관리하는 서버와 프라임론 사이트 누리집을 연결해 주는 기능 서버 등 2곳에서 고객정보가 유출된 것으로 보인다고 추정했다. 현대캐피탈이 취급하는 자동차 리스 상품의 경우 정비 서비스가 포함돼 있는데, 정비업체는 보조서버를 통해 고객 42만명의 이름과 주민등록번호 등 고객 신상정보를 조회할 수 있다. 이 과정에서 조회 정보가 유출됐다는 것이다. 비밀번호와 신용등급 같은 민감한 신용정보 1만3000여건은 프라임론을 관리하는 별도 서버와 누리집을 연결하는 기능 서버에서 유출된 것으로 보인다. 현대캐피탈은 이들 서버에 대해 24시간 모니터링을 하는 ‘보안관제’를 실시해야 하는데 이를 소홀히 한 것으로 추정된다.

현대캐피탈의 전산시스템 운영은 현대차그룹 계열의 시스템통합(SI) 업체인 현대오토에버가 맡고 있다. 한 보안업체 관계자는 “고객 데이터베이스를 보호하기 위해선 방화벽 같은 해킹 방지 솔루션 설치와 함께 24시간 모니터링을 해야 하는데, 오토에버는 그런 보안관제 능력이 떨어진다”고 지적했다.

보안 전문가들은 현대캐피탈이 비밀번호를 제대로 암호화하지 않았을 가능성도 제기한다. 해커 출신 한 보안 전문가는 “해커들이 모든 고객의 비밀번호를 해킹한 게 아니라 일부만 해킹했다는 점에서 현대캐피탈이 일부 고객 디비를 소홀히 다룬 것 같다”고 말했다.

또 해커가 암호화된 비밀번호를 풀어주는 ‘복화 프로그램’을 통해 해킹했을 가능성도 있다. 금융회사들은 인터넷뱅킹을 하는 고객이 요구하면 웹상에 비밀번호를 보여주기 때문에 별도로 ‘복화 프로그램’을 가동하고 있다. 해커가 웹사이트의 취약점을 찾아 서버에 일단 진입하면 대부분의 시스템에 접근이 가능해지기 때문에 이 복화 프로그램에서 비밀번호를 빼내갔을 수 있다는 것이다. 한 금융권 전산전문가는 “데이터베이스에는 비밀번호가 암호화돼 저장되지만 복화 프로그램을 통해 들어가면 비밀번호를 그냥 볼 수 있다”며 “이는 현재 전체 금융권 전산시스템이 안고 있는 취약점 중 하나”라고 말했다.

■ ‘제2의 현대캐피탈 사태’ 우려 한 금융업계 관계자는 “그나마 현대캐피탈은 해킹 사실을 밝혔지만, 여러 금융사들이 소문이 날까봐 해커들에게 돈을 주며 ‘쉬쉬’한다는 말을 들었다”고 말했다. 현대캐피탈 사태가 남의 일이 아니라는 얘기다. ㄱ대학의 보안 전공 교수는 “해커들이 현대카드를 가만 놓아두고 현대캐피탈만 공격했겠냐”며 “해커들이 은행과 제2금융권도 공격했을 가능성이 크고, 이 가운데 현대캐피탈이 보안이 제대로 돼 있지 않았기 때문에 뚫린 것”이라고 말했다.

특히 제2금융권은 투자비 등의 문제로 고객정보 암호화와 상시 모니터링, 보안점검 등에 미흡한 경우가 많은 것으로 알려져 추가적인 해킹이 우려되고 있다. 파장이 커지자 캐피털업체뿐만 아니라 은행·카드·증권·저축은행·보험 등 전 금융권이 긴급 보안점검에 들어갔다.

금감원은 11일 오전 현대캐피탈이 전자금융감독규정을 제대로 준수했는지 특별검사에 들어갔다. 금감원 관계자는 “현대캐피탈 고객 데이터베이스 가운데 로그 기록의 일부가 암호화되지 않았다는 얘기가 있어 이를 집중적으로 확인할 계획”이라고 밝혔다.

정혁준 정세라 김지훈 기자 [e-mail]