신한은행 해킹 사건, 25,000명의 민감한 금융정보 유출…인증 우회 공격으로 드러난 보안 허점

신한은행 2만5000명 정보 유출…"인증 우회" 공격으로 금융보안 경보

신한은행에서 약 2만5000명의 고객 정보가 유출되는 대규모 해킹 사고가 발생했습니다. 유출된 정보에는 고객명과 전화번호를 비롯해 연소득과 산출한도 등 대출 신청 과정에서 수집된 개인 신용정보가 포함되었습니다.

유출된 정보의 범위

이번 사고에서 유출된 정보의 규모가 결코 가볍지 않습니다. 현재까지 확인된 유출 정보 중 주민등록번호는 66건, 연계정보(CI)는 97건입니다. 주민등록번호와 CI는 신용조회나 금융거래에 필수적인 정보들이기에, 해당 정보가 외부로 유출될 경우 피해가 복합적으로 발생할 수 있습니다.

유출 정보 구성

• 고객명, 전화번호
• 주민등록번호(66건)
• 연계정보 CI(97건)
• 연소득
• 대출 산출한도

공격 방식: 인증 절차의 치명적 허점

기술 전문가 관점에서 보면, 이번 해킹의 원인은 시스템의 인증 체계에 있습니다. 해킹은 대출모집인 전용 조회 서비스의 보안 허점에서 시작되었으며, 정상적인 본인확인 절차를 거치지 않고도 고객 정보에 접근할 수 있는 틈이 생긴 것입니다.

외부 공격자는 신한은행 모바일 홈페이지 'M 신한'에 마련된 대출모집인용 서비스의 작동 방식을 분석한 뒤 정상 인증 절차를 우회했으며, 이후 고객을 식별하는 번호 등 조회에 필요한 값을 무작위로 바꿔가며 반복 입력해 고객 정보를 불러냈습니다.

이는 마치 자동문의 센서를 속이는 것과 비슷합니다. 정상적인 출입 인증 방식을 우회해 무단으로 건물 내부 정보를 탈취한 셈이죠. 업계에서는 이 같은 공격 방식이 API 자동화 공격(자동으로 요청을 반복하는 공격)의 특징을 보인다고 분석하고 있습니다.

은행의 대응과 금융당국의 움직임

신한은행은 외부에서 인증을 우회하는 비정상적인 방법으로 일부 서비스에 접근해 고객 개인정보가 유출된 사실을 1일 밝혔습니다. 사고 인지 직후 신한은행은 신속하게 대응에 나섰습니다.

신한은행은 사고를 인지한 즉시 비상대책반을 구성하고 전사 비상대응체계를 가동했으며, 추가 피해를 막기 위해 외부 인터넷주소(IP)를 차단하고 관련 서비스를 중단했으며 신규 보안정책도 적용했습니다.

금융감독원도 즉시 움직였습니다. 금융당국은 주민등록번호, 연소득, 대출 산출한도 등 대출 관련 민감한 개인 신용정보가 담겨 있어 사안이 중대하다고 판단하고 현장조사에 들어갔습니다.

고객 지원 및 보상 체계

신한은행은 투명한 정보 공개와 피해 보상에 나섰습니다. 고객이 자신의 정보 유출 여부와 유출된 정보를 확인할 수 있도록 신한은행 홈페이지에 별도 확인 메뉴를 마련했으며, 이날 중 신한 슈퍼SOL 앱에도 같은 기능을 추가할 예정입니다.

더불어 신한은행은 이번 사고로 실제 고객 피해가 발생할 경우 손해액을 전액 보상하겠다는 방침입니다.

금융권이 배워야 할 교훈

이번 사건의 가장 큰 문제는 비로그인 기반 서비스의 보안 취약성입니다. 대출모집인용 조회 서비스처럼 내부 업무용 시스템이 인증 절차를 제대로 갖추지 못한다면, 외부 공격자들에게 충분히 매력적인 공격 목표가 될 수 있습니다.

금융권의 관점에서 보면, 이제는 모든 데이터 접근 지점에 다층 인증 (Multi-Factor Authentication)을 도입하고, API 호출 패턴을 실시간으로 모니터링하는 시스템이 필수적입니다. 특히 고객의 민감한 신용정보에 접근하는 모든 채널에 대해 정기적인 보안 감사가 이루어져야 합니다.

신한은행은 개인정보 보호 체계와 업무 절차, 보안정책도 전반적으로 재점검하기로 했습니다. 이는 단순한 사후 대응을 넘어, 전 금융권이 자신들의 보안 체계를 재점검해야 한다는 신호로 읽혀집니다.

기자: 이채원