"다크웹에 내 보험계약 내역이"...주요 GA 고객정보 1100명 유출

[녹색경제신문 = 나아영 기자] 국가정보원이 다크웹에서 주요 법인보험대리점 고객정보 불법 유통 정황을 포착했다. 유퍼스트보험마케팅과 하나금융파인드 등 GA 2곳에서 총 1107명의 개인정보가 유출됐으며, 일부는 보험계약 상세내역까지 포함돼 있어 2차 피해 우려가 커지는 모양새다.

20일 금융감독원은 법인보험대리점(GA) 2곳의 개인정보 침해사고 경과 및 향후 계획을 발표했다. 지난달 국가정보원이 다크웹에서 신원미상의 해커가 GA 개인정보를 탈취·공개하려는 정황을 최초 포착한 데 따른 후속 조치다. 조사 결과 유퍼스트보험마케팅에서 908명, 하나금융파인드에서 199명 등 총 1107명의 개인정보가 유출된 것으로 드러났다.

특히 심각한 것은 정보 유출의 질적 수준이다. 유퍼스트보험마케팅에서는 고객 349명의 성명·주민등록번호·전화번호와 임직원·설계사 559명의 개인정보가 유출됐는데, 일부 고객 128명의 경우 가입한 보험계약의 종류와 보험사, 증권번호, 보험료 등 민감한 신용정보까지 포함됐다. 하나금융파인드에서는 고객 199명의 개인정보가 유출됐으나 보험계약에 관한 거래정보 등 신용정보 유출은 없었던 것으로 확인됐다.

금감원 조사 결과 이번 사태는 단순한 실수로 인한 대형 보안 사고로 드러났다. 보험영업지원 IT업체 개발자가 해외 이미지 공유사이트를 이용하다 악성코드 링크를 클릭했고, 이로 인해 PC가 감염됐다. 문제는 해당 PC에 GA 웹서버 접근 URL과 관리자 ID·비밀번호가 저장돼 있어 총 14개사의 접속 정보가 유출된 것으로 추정된다는 점이다.

이에 따라 금감원은 나머지 12개사에 대해 생·손보협회를 통해 점검을 진행했고, 그 결과 1개사에서 추가로 개인정보 유출 정황이 확인됐다. 금감원은 "유출량은 매우 적은 것으로 추정되나 정확한 실태 파악을 위해 금융보안원을 통해 추가 검증을 실시할 예정"이라고 밝혔다. 또한 유사 서비스를 이용 중인 다른 GA 43개사에 대해서도 이상 IP 접속 여부를 확인 중이어서 피해 규모는 더 늘어날 가능성도 있는 상황이다.

이번 사태는 금융 관련 기업의 취약한 보안 실태를 여실히 보여주는 사례라는 평가다. 특히 브라우저 자동 저장 기능을 통해 관리자 계정 정보를 PC에 저장해둔 관행이 심각한 문제로 지적된다. 금융기관의 고객정보 유출은 단순 개인정보 피해를 넘어 금융 사기나 2차 피해로 이어질 수 있어 우려의 목소리가 나오고 있다.

금감원은 정보 유출 회사에 개인정보 유출 사실을 고객에게 조속히 개별 통지하도록 하고, 보험사에는 유출 정보를 악용한 보험계약대출, 적립금 중도인출, 보험계약 해지·변경 등이 발생하지 않도록 필요한 조치를 요구할 방침이다.

이와 함께 정보 유출 GA와 보험회사 내에 피해상담센터를 설치해 유출로 인한 피해 접수, 관련 제도 문의 등을 적극 상담·대응하기로 했다. 아울러 금감원은 추가 피해 예방을 위해 GA·보험회사에 ID·비밀번호 관리 강화, 보안 취약점 점검, 불필요한 고객정보 삭제, 솔루션 업체에 대한 보안관리 강화 등을 재차 요구할 계획이다.

한편, 금감원은 개인신용정보 유출 GA에 대한 현장검사를 실시하고, 금융보안원·생명보험협회·손해보험협회와 함께 국가정보원, 개인정보보호위원회 등 유관기관과 지속적으로 공조하기로 했다. 개인정보보호위원회는 이미 지난 8일부터 유퍼스트보험마케팅과 하나금융파인드에 대한 조사에 착수했으며, 법 위반 사항이 확인될 경우 엄정히 처벌한다는 입장이다.

특히 금감원은 개인정보 유출사실 통지를 빙자한 스미싱 등 2차 피해를 막기 위해 고객 통지 시 URL을 일체 포함하지 않기로 했다. 유출 피해 고객에게는 보험회사 등 금융회사 홈페이지·앱 비밀번호를 변경할 것을 적극 권고했다.

보험업계 관계자는 "최근 해킹이 고도화되면서 보험회사뿐 아니라 GA 등 금융 관련 업체들의 보안 강화가 시급한 상황"이라며 "특히 개발자 PC 같은 외부 접점에서 발생하는 보안 사고를 막기 위한 솔루션 업체 관리가 더욱 중요해졌다"고 말했다.