미래에셋그룹 4곳 연달아 뚫려…연쇄 해킹에 금감원 현장 점검

[땅집고] 미래에셋그룹 계열사가 보름 새 잇따라 해킹 공격에 뚫렸다. 미래에셋생명과 미래에셋자산운용에서 정보가 새나간 데 이어 그룹의 핵심인 미래에셋증권에서도 고객과 임직원 약 3만9000명의 정보가 유출됐다. 그룹 차원의 보안 관리가 제대로 작동하지 않았다는 지적이 나온다. 금융감독원은 미래에셋증권을 대상으로 현장점검에 착수했다.

관련기사 : 병력·수술 이력까지 새나갔나…미래에셋생명 해킹에 보험업계 CEO 책임론

◇ 생명보험부터 증권까지…계열사 4곳 잇따라 공격

13일 금융권에 따르면 미래에셋증권은 지난 4일 모바일웹 휴대전화 인증 로그인 서비스를, 5일에는 사내 그룹웨어 ‘mi-global’을 외부에서 공격받았다. 이 과정에서 고객 약 3800명의 계좌번호와 임직원·퇴직자·외주인력 3만5255명의 정보가 유출됐다. 임직원 정보는 대부분 이름과 사번이지만 일부는 이메일, 휴대전화 번호, 암호화된 비밀번호까지 빠져나갔다. 회사 측은 주민등록번호 등 고유식별정보와 민감정보는 유출되지 않았고, 확인된 금전 피해도 없다고 밝혔다. 김미섭·허선호 각자대표는 7일 "고객 정보를 지켜야 할 책임을 다하지 못했다"며 사과했다.

특히 그룹 내에서 사고가 연달아 발생했다는 점에서 우려가 높다. 미래에셋생명은 10월 25일 홈페이지와 청약시스템에서 침입 정황을 발견했고, 26일 고객 정보 유출을 확인했다. 해킹으로 고객 정보가 유출돼 신고된 것은 보험업권에서 처음이다. 유출 항목에는 이름, 주민등록번호, 연락처, 주소, 계좌번호가 포함됐다. 이후 퇴직연금 거래정보와 임직원 정보까지 추가 유출된 것으로 알려졌다. 피해 규모는 아직 확정되지 않았고, 금감원은 현장점검을 연장했다.

지난달 28일에는 미래에셋자산운용도 일부 업무용 웹시스템에서 정보가 유출됐다고 밝혔다. 회사는 개인 고객 정보는 아니라고 설명했다. 계열사인 에너지인프라자산운용에서도 침투 시도가 확인됐다. 공격이 확인된 미래에셋 계열사는 모두 4곳이다.

◇ 금감원 점검 지시 다음 날 또 해킹…보안 대응 도마에

이찬진 금융감독원장은 11월 3일 전 금융권에 외부접점 전수점검을 지시했다. 취약점을 해소하기 전까지는 외부 접근을 원칙적으로 차단하라는 내용이었다. 미래에셋증권은 바로 다음 날 외부에 노출된 모바일웹 로그인 서비스를 공격받았다. 그룹웨어가 공격 통로가 된 점도 반복되는 패턴이다. 앞서 빗썸과 한양증권도 그룹웨어를 통해 정보가 유출됐다. 같은 그룹 계열사가 먼저 공격받았는데도 증권의 외부 노출 시스템을 미리 막지 못한 셈이다.

금감원은 9일부터 미래에셋증권 현장점검에 착수했다. 금감원은 미래에셋증권에 현장점검반을 보내 피해 규모와 사고 경위를 살펴보고 있다. 미래에셋그룹 4개 계열사에서 비슷한 시기 연쇄적으로 해킹 공격을 받은 만큼 당국은 연관성도 염두에 두고 조사 중이다.

◇ 책무구조도 시행 1년여…CEO 책임 첫 적용될까

금융당국은 CEO 책임을 정조준하고 있다. 미래에셋증권은 자산 5조원 이상 대형 증권사여서 2025년 7월부터 책무구조도가 정식 적용되고 있다. 감경·면제가 가능했던 시범운영 대상이 아니라는 뜻이다. 금융당국 고위관계자는 “CEO와 CISO(최고정보보호책임자)가 책무구조도에 따른 역할을 제대로 했는지 들여다볼 것”이라고 말했다. 이억원 금융위원장도 5일 "중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진 책임까지 엄정하게 묻겠다"고 밝혔다.

책무구조도로 임원을 제재한 사례는 아직 한 건도 없다. 민병덕 더불어민주당 의원이 금감원에서 받은 자료를 보면, 책무구조도 도입 이후 발생한 금융사고 34건 가운데 이 절차로 처리된 사례는 없었다. 매출액의 3%까지 징벌적 과징금을 매기는 전자금융거래법 개정안도 국회에 계류돼 있다. 금융권 관계자는 "한 그룹에서 계열사 여러 곳이 같은 시기에 뚫린 데다, 은행·저축은행 사고 이후 몇주가 지난 후에 발생한 만큼 엄격한 기준을 적용받을 가능성이 있다”며 “미래에셋이 책무구조도 제재의 첫 사례가 될 가능성도 배제할 수 없다"고 말했다.

금융당국이 책무구조도 도입 당시 제시한 8개의 세부 판단기준은 위법행위의 정도와 결과에 따라 △관리의무 미이행 △위법행위 발생 가능성에 대한 문제 제기 △대규모 고객 피해 발생 △금융시장 신뢰·질서 훼손 등을 종합적으로 고려해서 중대/보통/경미로 구분한다. CEO가 침해사고를 막기 위해 얼마나 상당한 주의를 기울였는지는 △임원이 위법행위(사고) 결과를 예측할 수 있었는지(예측가능성) △이를 방지하기 위한 조치를 취했는지(결과 회피)를 기준으로 CEO 책임을 판단하겠다고 밝혔다. /sh0293@chosun.com