금융권의 연이은 해킹 사고로 주요 은행들이 사이버 위협에 대응하기 위한 정보보호 예산을 늘려 잡았지만 정작 예산 집행률은 뒷걸음질 친 것으로 나타났다. 이양수 국민의힘 의원실이 6일 금융감독원에서 받은 자료에 따르면 지난해 KB국민·신한·하나·우리·NH농협은행, 카카오·케이·토스뱅크 등 8개 은행의 정보보호 예산 편성액은 3978억원으로 전년 대비 6.2% 증가했다. 은행권 예산은 2023년 3282억원, 2024년 3745억원 등 늘어나는 추세다. 반면 실제 집행 규모는 예산 증가 속도를 따라가지 못했다. 은행권 집행률은 2023년 74.5% 수준이었으나 이듬해 70.8%로 줄었고, 지난해에는 69.0%에 그쳤다. 자금을 투입해 정보보호를 강화하겠다는 다짐만 하고 실행력은 이를 따라가지 못했단 얘기다. 은행별로 보면 우리은행의 집행률이 53.8%로 가장 낮았고, KB국민은행도 58.1%에 그쳤다. NH농협은행은 63.9%, 신한은행은 69.9%였고, 하나은행은 편성한 예산을 모두 집행해 집행률 100%를 기록했다. 은행들은 “사업 기간이 길어지면서 일부 예산 집행이 다음 해로 넘어갔다”고 설명했다. 실제 투입한 금액도 차이가 컸다. 신한은행은 317억원으로 5대 은행 가운데 가장 적었고, KB국민은행 393억원, 우리은행 423억원, NH농협은행 481억원, 하나은행 530억원 순이었다. 대형 생명보험사의 경우 삼성생명이 지난해 307억원을 편성해 98.7%를 썼다. 153억원을 편성한 교보생명 집행률은 72.0%로 집계됐으며, 한화생명은 390억원으로 가장 많은 자금 투입을 계획했으나 집행률은 58.1%에 그쳤다. 삼성·메리츠·DB·현대·KB손해보험 등 5개 손보사는 지난해 884억원을 편성했는데, 집행률은 104.2%를 기록했다. 삼성화재가 당초 계획보다 더 많은 자금을 투입한 영향이다. 8개 전업카드사(신한·삼성·현대·KB국민·롯데·하나·우리·BC카드)의 지난해 정보보호 예산(1319억원)은 1년 전보다 12.4% 늘었고, 집행률(90.5%)도 전년 동기 대비 8.4% 포인트 증가했다. 지난해 대규모 해킹사고로 금융당국 제재 절차가 진행 중인 롯데카드는 2024년 151억원에서 2025년 128억원으로 줄여 편성했고, 집행액은 두 해 모두 117억원 수준이었다. 10대 증권사의 예산은 지난해 1428억원으로 전년(1422억원)과 비슷했으며, 집행률은 2024년 75.1%에서 지난해 82.0%로 높아졌다. 정보보호 인력은 금융권 전체적으로 1423명으로 1년 전보다 6.9% 늘었다. 그러나 KB금융 계열사는 국민은행(-7.6%), KB국민카드(-8.6%), KB손해보험(-4.8%) 등 일부 계열사에서 오히려 인력이 줄었다. 황석진 동국대 국제정보보호대학원 교수는 “정보보호 투자는 당장의 수익을 내는 분야가 아니다 보니 사고만 없으면 ‘지금은 괜찮다’고 여기는 안이한 인식이 투자 축소로 이어지고 있다”며 “정보보호 인력을 줄이는 것도 결국 비용 절감을 우선한 결과”라고 지적했다.

금융권의 연이은 해킹 사고로 주요 은행들이 사이버 위협에 대응하기 위한 정보보호 예산을 늘려 잡았지만 정작 예산 집행률은 뒷걸음질 친 것으로 나타났다. 이양수 국민의힘 의원실이 6일 금융감독원에서 받은 자료에 따르면 지난해 KB국민·신한·하나·우리·NH농협은행, 카카오·케이·토스뱅크 등 8개 은행의 정보보호 예산 편성액은 3978억원으로 전년 대비 6.2% 증가했다. 은행권 예산은 2023년 3282억원, 2024년 3745억원 등 늘어나는 추세다. 반면 실제 집행 규모는 예산 증가 속도를 따라가지 못했다. 은행권 집행률은 2023년 74.5% 수준이었으나 이듬해 70.8%로 줄었고, 지난해에는 69.0%에 그쳤다. 자금을 투입해 정보보호를 강화하겠다는 다짐만 하고 실행력은 이를 따라가지 못했단 얘기다. 은행별로 보면 우리은행의 집행률이 53.8%로 가장 낮았고, KB국민은행도 58.1%에 그쳤다. NH농협은행은 63.9%, 신한은행은 69.9%였고, 하나은행은 편성한 예산을 모두 집행해 집행률 100%를 기록했다. 은행들은 “사업 기간이 길어지면서 일부 예산 집행이 다음 해로 넘어갔다”고 설명했다. 실제 투입한 금액도 차이가 컸다. 신한은행은 317억원으로 5대 은행 가운데 가장 적었고, KB국민은행 393억원, 우리은행 423억원, NH농협은행 481억원, 하나은행 530억원 순이었다. 대형 생명보험사의 경우 삼성생명이 지난해 307억원을 편성해 98.7%를 썼다. 153억원을 편성한 교보생명 집행률은 72.0%로 집계됐으며, 한화생명은 390억원으로 가장 많은 자금 투입을 계획했으나 집행률은 58.1%에 그쳤다. 삼성·메리츠·DB·현대·KB손해보험 등 5개 손보사는 지난해 884억원을 편성했는데, 집행률은 104.2%를 기록했다. 삼성화재가 당초 계획보다 더 많은 자금을 투입한 영향이다. 8개 전업카드사(신한·삼성·현대·KB국민·롯데·하나·우리·BC카드)의 지난해 정보보호 예산(1319억원)은 1년 전보다 12.4% 늘었고, 집행률(90.5%)도 전년 동기 대비 8.4% 포인트 증가했다. 지난해 대규모 해킹사고로 금융당국 제재 절차가 진행 중인 롯데카드는 2024년 151억원에서 2025년 128억원으로 줄여 편성했고, 집행액은 두 해 모두 117억원 수준이었다. 10대 증권사의 예산은 지난해 1428억원으로 전년(1422억원)과 비슷했으며, 집행률은 2024년 75.1%에서 지난해 82.0%로 높아졌다. 정보보호 인력은 금융권 전체적으로 1423명으로 1년 전보다 6.9% 늘었다. 그러나 KB금융 계열사는 국민은행(-7.6%), KB국민카드(-8.6%), KB손해보험(-4.8%) 등 일부 계열사에서 오히려 인력이 줄었다. 황석진 동국대 국제정보보호대학원 교수는 “정보보호 투자는 당장의 수익을 내는 분야가 아니다 보니 사고만 없으면 ‘지금은 괜찮다’고 여기는 안이한 인식이 투자 축소로 이어지고 있다”며 “정보보호 인력을 줄이는 것도 결국 비용 절감을 우선한 결과”라고 지적했다.

금융감독원이 지난해 해킹으로 고객 297만명의 정보가 유출된 롯데카드에 대해 영업정지 4.5개월과 과징금 등이 포함된 제재안을 사전 통지한 것으로 파악됐다. 9일 금융권에 따르면 금감원은 지난주 롯데카드에 영업정지(4.5개월)와 과징금(50억원), 인적 제재 등이 담긴 제재안을 전달했다. 해킹 사고 당시 대표였던 조좌진 전 대표 등에 대한 제재도 포함된 것으로 전해졌다. 금감원 관계자는 “사전 통지 단계로 제재심을 거쳐 확정될 사안”이라고 말했다. 금감원은 오는 16일 제재심의위원회에 안건을 상정할 예정이며, 이후 금융위원회 의결을 거쳐 최종 제재 수위가 결정된다. 이번 제재는 지난해 9월 발생한 해킹사고에 따른 것이다. 당시 롯데카드에서는 고객 297만명의 정보가 유출됐다. 이 가운데 카드번호와 유효기간, CVC(카드보안코드) 번호 등 핵심 정보가 포함된 고객은 약 28만명으로 카드 부정 사용 가능성이 있는 것으로 추산됐다. 금감원은 사고 이후 여신전문금융업법과 신용정보법, 전자금융거래법 위반 여부를 중심으로 검사를 진행해왔다. 앞서 개인정보보호위원회도 개인정보보호법 위반을 이유로 롯데카드에 과징금 96억 2000만원과 과태료 480만원을 부과했다. 업계에서는 2014년 카드 3사 정보유출 당시 3개월 영업정지보다 제재 수위가 강화된 데 대해 반복 위반 요소가 반영된 것으로 보고 있다. 여신전문금융업법상 개인정보 유출 시 최대 6개월 영업정지가 가능하다.

과징금 50억원 부과 전망금융감독원이 지난해 해킹으로 고객 297만명의 정보가 유출된 롯데카드에 대해 영업정지 4.5개월과 과징금 등이 포함된 제재안을 사전 통지한 것으로 파악됐다. 9일 금융권에 따르면 금감원은 지난주 롯데카드에 영업정지(4.5개월)와 과징금(50억원), 인적 제재 등이 담긴 제재안을 전달했다. 해킹 사고 당시 대표였던 조좌진 전 대표 등에 대한 제재도 포함된 것으로 전해졌다. 금감원 관계자는 “사전 통지 단계로 제재심을 거쳐 확정될 사안”이라고 말했다. 금감원은 오는 16일 제재심의위원회에 안건을 상정할 예정이며, 이후 금융위원회 의결을 거쳐 최종 제재 수위가 결정된다. 이번 제재는 지난해 9월 발생한 해킹사고에 따른 것이다. 당시 롯데카드에서는 고객 297만명의 정보가 유출됐다. 이 가운데 카드번호와 유효기간, CVC(카드보안코드) 번호 등 핵심 정보가 포함된 고객은 약 28만명으로 카드 부정 사용 가능성이 있는 것으로 추산됐다. 금감원은 사고 이후 여신전문금융업법과 신용정보법, 전자금융거래법 위반 여부를 중심으로 검사를 진행해왔다. 앞서 개인정보보호위원회도 개인정보보호법 위반을 이유로 롯데카드에 과징금 96억 2000만원과 과태료 480만원을 부과했다. 업계에서는 2014년 카드 3사 정보유출 당시 3개월 영업정지보다 제재 수위가 강화된 데 대해 반복 위반 요소가 반영된 것으로 보고 있다. 여신전문금융업법상 개인정보 유출 시 최대 6개월 영업정지가 가능하다

서울의 한 대형 개신교 교회에서 예배를 유튜브로 중계하던 중 난데없이 북한 인공기 화면이 송출되는 일이 벌어졌다. 교회 측은 외부 세력에 의한 해킹으로 판단하고 있다. 19일 온누리교회에 따르면 전날 새벽 서울 용산구에 있는 이 교회 서빙고 캠퍼스(서빙고 온누리교회)에서 박종길 목사의 설교 장면을 유튜브로 중계하던 중 약 20초 동안 화면에 인공기가 등장했다. 이때 설교 음성도 중단되고 곡목이 확인되지 않은 음악이 나온 것으로 전해졌다. 유튜브 등에는 당시 상황을 담은 영상이 나돌고 있다. 온누리교회는 홈페이지에 올린 사과문에서 “6월 18일 서빙고 새벽 예배 유튜브 스트리밍 중 예기치 않은 영상이 송출되는 해킹사고가 발생했다”며 “현재 사고 원인을 긴급 조사 중에 있으며 빠른 시일 내 상황 조사 후 조치하도록 하겠다”라고 밝혔다. 교회 관계자는 “담당 부서에서 (당국에) 신고했다”라고 설명했다. 다만 이번 사건과 관련해 외부 세력의 협박이나 요구 등은 없었던 것으로 안다고 말했다.

가상화폐 위믹스의 2차 상장폐지가 확정됐다. 서울중앙지법 민사합의50부(김상훈 수석부장판사)는 30일 위메이드가 빗썸·코인원·코빗·고팍스 등 디지털자산(암호화폐)거래소 공동협의체(DAXA·닥사) 소속 4개 거래소를 상대로 제기한 효력정지 가처분 신청을 기각 결정했다. 위믹스는 국내 게임업체 위메이드가 블록체인 게임 생태계를 겨냥해 자회사를 통해 발행한 가상화폐다. 업비트와 빗썸, 고팍스, 코빗, 코인원 등 국내 5개 원화 디지털자산 협의체인 DAXA는 지난 2일 거래유의종목으로 지정한 위믹스를 상장 폐지하기로 결정했다. 당시 DAXA는 “거래유의 지정 사유에 대한 재단의 소명 자료만으로는 거래유의 지정 사유가 해소되지 않았다”며 “발행 주체의 신뢰성, 보안 등과 관련한 부분을 종합적으로 검토한 결과 거래지원 유지 기준에 부합하지 않아 거래지원 종료를 결정한다”고 설명했다. 앞서 위믹스는 지난 2022년 공시된 유통량과 실제 유통량이 다르다는 이유로 5대 가상자산 거래소에서 상장 폐지된 바 있다. 이후 빗썸, 코인원, 코빗, 고팍스 등 업비트를 제외한 주요 거래소에 재상장됐고 최근까지 거래돼 왔다. 하지만 지난달 4일 DAXA는 위믹스를 유의종목으로 다시 한번 지정했다. 위믹스가 수십억원에 달하는 해킹 공격에 노출돼 피해로 이어지면서다. 위메이드의 블록체인 자회사 위믹스 재단은 지난달 4일 홈페이지를 통해 “2월 28일 플레이 브릿지 볼트에 대한 악의적인 외부 공격으로 약 865만 4860개의 위믹스 코인이 비정상 출금됐다”고 공지했다. 당시 위믹스 시장 가격을 기준으로 약 90억원어치에 해당하는 규모다. 이후 DAXA는 “이용자의 합리적인 투자 판단이나 가상자산 가치에 중대한 영향을 미칠 수 있는 중요사항을 불성실하게 공시했고, 사건 발생 원인에 대한 명확한 소명과 피해자 보상 방안이 부재하다”며 위믹스를 거래유의 종목으로 지정했다. DAXA는 3월과 4월 두 차례 위믹스에 대한 거래유의종목 지정을 연장하며 거래 지원 여부를 논의해왔지만 약 두 달만에 상폐 결정을 내렸다. 위메이드 측은 DAXA가 논의 과정과 근거를 제대로 밝히지 않고 일방적으로 상장폐지 결정을 내렸다며 법원에 가처분 소송을 제기했다. 하지만 이날 법원이 DAXA 소속 거래소의 손을 들어주면서 위믹스는 2차 상장폐지를 피할 수 없게 됐다. 재판부는 위메이드와 위믹스가 “코인 관련 중요사항을 성실히 공시했다고 보긴 어렵다”며 “이 사건 해킹사고에 관한 사실의 공시가 4일이나 늦어진 이유를 쉽게 납득하기 어렵고 위믹스 코인의 가격이 하락하는 것을 우려해 공시·통지하지 않았을 개연성이 상당해 보인다”며 위믹스 측의 주장을 받아들이지 않았다. 그러면서 “위믹스 거래지원 종료 결정 당시까지 거래유의종목 지정 사유가 해소되지 않았다고 본 국내 거래소의 판단이 잘못됐다고 단정하기는 어렵다”고 설명했다. 위메이드 자회사 위믹스 재단은 법원의 판단이 나온 이후 “가처분 신청 결과를 매우 안타깝게 생각하지만, 법원 판단을 존중한다”며 “어느 때보다 막중한 책임감을 갖고 현 상황을 수습하고 생태계의 빠른 안정과 회복을 위해 최선을 다하겠다”고 입장을 밝혔다. 국내 원화 거래소에서의 위믹스 거래는 오는 6월 2일 오전 3시부터 중지되며, 7월 2일부터는 출금 지원도 종료된다.

SK텔레콤이 해킹 피해를 차단할 수 있는 ‘고객 안심패키지’로 사고 발생 이후 피해 사례 ‘0건’을 유지하고 있다고 20일 밝혔다. 고객 안심패키지는 비정상 인증 차단 시스템(FDS)과 유심보호서비스, 유심 교체 등을 포함한다. SK텔레콤은 FDS가 불법 복제폰 접근까지 차단할 수 있도록 지난 18일부터 고도화된 2.0 버전을 적용하고 있다. 특히 FDS 2.0은 유심과 IMEI(단말기 고유식별번호)와 같은 단말 정보 탈취 피해까지 폭넓게 예방하도록 개선됐다. 알뜰폰 가입자에게도 모두 적용된다. 아울러 유심 교체 재고 물량 확대와 유심 재설정, 찾아가는 서비스를 통해 이중, 삼중으로 고객을 보호하고 있다는 설명이다. 전날 시작된 찾아가는 유심 교체·재설정 서비스를 통해 강원 춘천, 경남 창녕, 충남 태안 등에서 1270건의 유심 교체를 진행하기도 했다. 이를 포함해 전날 유심을 교체한 고객은 33만명으로 하루 기준 역대 최대치를 기록했다. 누적 교체자 수는 약 252만명이다. 유심 무상 교체 속도는 빨라지는 추세다. 이달 들어 순차적으로 유심 500만개를 확보해 교체 작업을 진행하고 있으며, 다음달에도 577만개의 유심 물량을 확보해 차질 없이 교체를 이어갈 방침이다. 7월에는 유심 450만~500만개가 입고될 예정이다. 이심 셀프 교체 방식 간소화를 통해 이심 교체 고객은 약 5만 2000명으로 늘었다. 김희섭 PR센터장은 금융 정보 탈취 우려에 대해 “계좌 정보를 통신사가 저장하지 않기에 유심 정보로 계좌에서 돈을 빼가는 것은 안 된다”고 말했다.

삼성이 해킹 사고가 발생한 SK텔레콤을 이용하는 임원들에게 유심 교체에 나서라고 주문한 것으로 알려졌다. 이는 SK텔레콤이 가입 권고한 ‘유심보호 서비스’만으로는 정보 유출 우려가 해소되지 않는다고 판단했기 때문으로 보인다. 25일 재계에 따르면 삼성은 최근 삼성전자를 비롯한 주요 계열사 임원들을 상대로 “SK텔레콤 이용자는 전원 유심을 교체하라”고 공지했다. 이에 따라 대부분의 임원은 이미 유심을 교체한 것으로 알려졌다. 전날에는 계열사별로 유심 교체가 이뤄졌는지 확인 작업도 한 것으로 전해졌다. 앞서 SK텔레콤은 지난 19일 오후 11시 40분쯤 해커에 의한 악성 코드로 이용자 유심 관련 일부 정보가 유출된 정황을 확인했다고 22일 밝혔다. 유출된 정보는 가입자별 유심을 식별하는 고유식별번호 등인 것으로 알려졌다.

조태용 안보실장, 에너지 분야 사이버 공격 대비 점검 회의 윤석열 대통령은 최근 금융·에너지 등 기반시설에 대한 사이버 위협이 안보 위기로 전개되지 않도록 대응 태세를 철저히 하라고 강조했다.조태용 국가안보실장은 12일 용산 대통령실에서 에너지 분야 사이버 공격 대비 기관별 대응 태세 점검 회의를 열고 윤 대통령이 이같이 지시했다고 전했다. 조 실장은 회의에서 “국가 경제의 생명선인 에너지 기반시설을 사이버 공격으로부터 안전하게 보호할 수 있도록 철저한 대비가 필요하다”고 말했다. 이날 회의는 최근 국내외적으로 사이버 안보 위협이 고조되는 상황에서 에너지 분야에 대한 사이버 공격이 국가 안보를 위협하는 상황에 대비해 범정부 차원 선제 대응 태세 점검에 중점을 뒀다. 안보실은 회의 배경에 대해 러시아·우크라이나 전쟁에서 전개된 ‘하이브리드전’을 거론했다. 안보실은 “하이브리드전은 특히 에너지 기반 시설을 중요 타깃으로 삼고 있다”며 “물리적 공격뿐 아니라 정보 시스템 파괴 해킹 공격까지 감행하는 것으로 파악된다”고 설명했다. 하이브리드전이란 기존의 재래식 무기뿐 아니라 사이버 공격 등 다양한 수단을 활용해 상대를 공격하는 형태의 전쟁을 의미한다. 안보실은 또 과거 위협적 사례로 2021년 미국 최대 송유관 운영사 ‘콜로니얼 파이프라인’이 랜섬웨어 공격을 받아 주유 대란이 발생했던 점, 2014년 북한 해커가 한국수력원자력을 대상으로 원전 해킹을 협박해 사회적 혼란이 일었던 점 등을 언급했다. 회의에서는 산업통상자원부, 한국전력공사 등 에너지 분야 관련 기관의 사이버 공격 예방과 대응 활동 점검이 이뤄졌다. 대규모 해킹사고 등 위기 상황 발생 시 이들 기관과 국가정보원·과학기술정보통신부·검찰청·경찰청 등 유관 협력 기관과의 공조와 대응 방안에 대해서도 논의했다. 유관 부처와 기관은 최악의 사이버 공격 상황에서도 에너지 기반 시설을 최단 시간 내 복구하는 강력한 복원력 확보를 목표로 협력할 방침이다. 안보실은 “향후에도 국민 생활, 국가 경제와 직결되는 주요 기반 시설을 보호하기 위해 범정부 차원의 점검 활동을 강화해나갈 계획”이라고 밝혔다.

‘카카오 먹통’ 사태에 대응해 국가안보실 주도로 출범한 사이버안보 태스크포스(TF)가 18일 용산 대통령실 청사에서 첫 상황 점검회의를 개최했다. 김성한 안보실장이 주재한 이날 회의에서는 ‘카카오 사태’와 유사한 디지털 재난이 안보 위협 상황으로 전개될 것에 대비해 범정부 차원에서 대비태세를 점검하는 데 중점을 뒀다고 대통령실 이재명 부대변인이 서면브리핑에서 전했다. 회의에서는 국가기간통신망뿐 아니라 부가가치통신망에서 화재나 해킹사고 등의 위기 상황이 발생했을 때 신속하게 대응하기 위한 긴급점검 계획을 협의했다. 김 실장은 기업의 당연한 책무가 방기되면 국가안보 위험으로 번질 수 있음을 지적하며 이번처럼 정보통신망에 중대한 차질이 생기면 국가안보에도 막대한 위협을 줄 수 있는 만큼 철저한 대비가 필요하다고 강조했다. 사이버안보 TF는 앞으로 안보실 사이버안보비서관 주관으로 관계부처가 참여하는 실무 회의를 월 1∼2회 정기적으로 열 방침이다.

과기부 “기업 이미지 타격 우려, 신고 못 해”사고 유형, 악성코드 감염 38%로 1위 차지“기업 IT 예산의 10~15%를 사이버 보안에”전 세계 렌섬웨어 피해 금액 6년 새 25배 증가삼성전자와 LG전자, 현대삼호중공업 등 국내 최대 기업에 해킹 사고가 연이어 터진 가운데 악성코드 감염 이후 금전을 갈취하는 랜섬웨어 공격도 계속해서 늘어나고 있다. 24일 과학기술정보통신부(과기부)에 따르면 올해 1분기 기준 랜섬웨어 해킹 피해 신고건수는 63건으로 2020년(21건)보다 3배나 늘었다. 지난해 동분기(35건)보다도 2배 가까이 늘어 매년 증가 추세다. 지난해 말 기준(223건)으로 보면 2020년(127건) 대비 76% 급증했다. 과기부 정보통신정책실 관계자는 “기업 이미지 타격 등의 이유로 신고를 꺼리는 사람들이 많기 때문에 실제 피해는 이것보다 훨씬 크다고 보면 된다”고 말했다. 랜섬웨어란 몸값(Ransom)과 소프트웨어(Software)의 합성어로 악성 프로그램을 사용해 시스템을 잠그거나 데이터를 암호화해 사용할 수 없도록 하고 이를 인질로 금전을 요구하는 공격이다. 악성코드 감염 사고는 대부분 대기업, 금융, 의료 등 자금 능력이 있는 회사를 공격해 금전을 갈취하려는 목적으로 발생한다. 최근 랜섬웨어 공격은 더 지능화되고 다양한 형태로 나타나는데, 탈취한 개인정보나 기밀정보를 외부에 공개하겠다고 협박해 금전을 요구하기도 한다. ●사이버 침해 사고 유형 6개…악성코드 감염 1위·개인정보유출 3위 실제로 SK쉴더스의 ‘2022 보안 위협 전망 보고서’에 따르면 지난해 침해 사고 유형별 발생 빈도 가운데 ‘악성코드 감염’이 38%로 제일 심각하다. 이어 ‘공급망 공격(21%)’, ‘개인정보 유출(15%)’, ‘시스템 장악(12%)’, ‘기밀 자료 유출(11%)’ ‘디페이스(홈페이지 변조·3%)’ 순으로 많았다. 국내에서도 지난 1월 현대삼호중공업이 악성코드(하이브)에 감염되면서 전산망과 인터넷, 사내 네트워크 등이 마비됐다. 랜섬웨어 공격을 감행한 해커는 이메일 주소만 남겨둔 채 별도의 요구사항을 전달하지 않았지만, 복구 과정에서 연락이 오면 금액을 제시했을 것으로 추정됐다.이 외에도 지난달에는 해커집단 랩서스(Lapsus$)가 삼성전자의 반도체 설계 소스와 LG전자 임직원의 계정정보를 유출해 주목받았다. 데이터 분석 전문기업 에스투더블유랩(S2W)은 지난해부터 활동을 시작한 랩서스가 대기업의 강력한 보안 시스템의 허점을 파고들어 데이터를 빼낸 실력자들로 구성된 집단이라며 이들의 가장 큰 목적은 금전적 이득으로 추정된다고 밝힌 바 있다. 과기부와 한국인터넷진흥원(KISA) 등 업계 관계자는 “최근 삼성전자와 LG전자 해킹 사건은 기존 악성코드를 감염시켜 접근한 랜섬웨어 공격은 아니지만, 범죄적 관점에서 보면 (해커집단 특성상) 정보 유출을 빌미로 돈을 요구하는 게 랜섬웨어 공격과 유사하다고 볼 수 있다”고 말했다. 지난달 랩서스는 삼성전자와 LG전자 이외에도 해외 기업 엔비디아, 마이크로소프트 등을 해킹하는데 이어 미국 2위 통신사인 T모바일 시스템에 침투해 진행 중인 프로젝트와 관련한 소스코드를 훔쳤다고 23일(현지시간) 미국 IT 전문매체 더버지는 보도했다. T모바일은 해킹사고로 고객정보 등 민감한 데이터는 유출되지 않았다고 밝힌 상태다. ●전 세계 랜섬웨어 피해 금액 지난해 7486억원에 달해 전 세계적으로 사이버 공격에 따른 피해 금액도 커지고 있다. 블록체인 데이터 플랫폼 기업 체이널리시스에 따르면 지난해 전 세계 랜섬웨어 피해액만 6억 200만달러(약 7486억원)로 6년 전인 2016년(2400만 달러)보다 25배 넘게 증가했다. 지난해 최대 피해액을 기록한 랜섬웨어인 콘티(Conti)는 피해자들로부터 1억 8000만 달러 이상을 갈취했다.조용민 신한금융투자 연구원은 사이버 보안 관련 보고서에서 “올해 기업 성장을 위협할 최대 위험은 사이버 공격”이라며 “해커에게 지불해야 하는 비용과 시스템 복원에 걸리는 시간, 기업 평판, 주가 급락 등 다방면으로 피해가 발생하기 때문”이라고 말했다. 이어 “국제적으로 지난해 사이버 보안을 강화하기 위한 지출이 12% 증가했지만 FBI(미 연방수사국)에 보고된 사이버 범죄 피해 규모는 전년 대비 64% 증가했다”며 “사이버 보안 투자 확대를 위해 기업은 사내 IT 예산의 10~15%를 사이버 보안에 배정해야 한다”고 말했다.

해킹 사고로 가상화폐 투자 피해를 본 투자자들이 거래소를 상대로 낸 손해배상 소송에서 승소했다. 법원은 해킹에 대한 직접적 책임은 거래소에 없지만 해킹을 이유로 투자자들의 가상화폐 반환 요구에 응하지 않은 책임은 있다고 봤다. 10일 법조계에 따르면 서울중앙지법 민사합의17부(부장 김성원)는 피해자 A씨 등 11명이 가상화폐 거래소 ‘코인레일’의 운영사 주식회사 리너스를 상대로 낸 손해배상 청구 소송에서 리너스 측의 배상책임을 인정해 원고 일부 승소로 판결했다. 재판부는 “피고는 원고들에게 3억 8300여만원을 지급하라”고 밝혔다. 코인레일은 지난 2018년 6월 해킹으로 펀디엑스·애스톤·엔퍼 등 400억원 규모의 가상화폐가 유출되는 사고를 겪었다. 코인레일은 해킹 직후 거래소를 폐쇄한 뒤 서비스 점검에 들어갔고 보상계획을 발표했지만 현재까지 피해 복구는 이뤄지지 않았다. 피해자들은 해킹 직후 코인레일이 서비스를 중단해 가상화폐를 시장가에 매도하지 못해 피해를 봤다고 주장했다. 이에 재판부는 해킹 사고와 관련해서는 코인레일의 고의·과실도 없었다고 판단했다. 다만 “해킹사고를 이유로 거래소 거래를 중단·폐쇄해 가상화폐 반환 의무 이행을 거절했다”며 거래소 측의 배상책임을 인정했다. 아울러 추가 피해를 막기 위해 거래소를 중단한 것일 뿐 의무 이행을 거절한 것이 아니라는 코인레일 측 항변도 받아들이지 않았다.

가상화폐거래소 코인레일이 10일 새벽 해킹 공격을 받아 400억원의 피해를 본 것으로 전해졌다. 코인레일은 홈페이지 공지를 통해 해킹 공격으로 펀디 엑스(NPXS), 애스톤(ATX), 엔퍼(NPER) 등 3종의 가상화폐가 유출됐다고 11일 밝혔다. 해킹으로 유출된 가상화페는 코인레일이 보유한 코인의 30% 수준이다.코인레인은 “현재 전체 코인 보유액의 70%는 콜드월렛에 안전하게 보관중”이라면서 “유출이 확인된 코인의 3분의 2는 각 코인사와 관련 거래소와 협의를 통해 동결·회수했고 3분의 1은 수사기관, 관련 거래소, 코인개발사와 함께 조사중”이라고 밝혔다. 업계에 따르면 이번 해킹사고로 210억 달러 상당의 펀디엑스, 149억원 상당의 애스톤 등 약 400억원 규모의 가상화폐가 유출됐다는 관측이 나온다. 지난해 9월 개장한 코인레일은 24시간 거래량으로 세계 90위권의 중소거래소로, 한국블록체인협회에 가입하지 않았다. 앞서 야피존이 해킹 사고로 55억원 상당의 비트코인을, 유빗이 172억원 상당의 해킹 피해를 본 바 있다. 온라인뉴스부 iseoul@seoul.co.kr

서울시의회 김영한 의원(바른미래당·오금동, 가락본동, 가락2동, 문정1동)은 지난 3일 서울 창업허브 별관에서 열린 ‘서울 핀테크 랩’ 개관식에 참석했다.서울시는 국내 핀테크 산업 생태계 구축을 위해 설립한 서울 핀테크 랩의 성공적인 출범을 기념하기 위해 개관식을 개최했다. 이 날 개관식 행사에는 김영한 서울시의원을 비롯한 박원순 서울시장, 금융 관련 기관장, 파트너스 및 입주기업(34개사) 등 100여명이 참여한 가운데 리셉션, 추진경과보고, 업무협약체결, 제막식, 시설라운딩, 네트워킹 순으로 진행됐다. 김영한 의원은 이번 개관식이 서울 핀테크 랩을 알리고 핀테크 랩 입주기업의 성장을 지원하기 위해 상호협력을 도모하며 육성, 전문, 해외 파트너스 관계를 형성하는 등 참석자들 간 인사 및 자유로운 대화를 통한 소통의 장이 될 것이라고 기대했다. 김영한 의원은 격려사에서 “4차 산업혁명을 대비해야 하는 상황에서 서울 핀테크 랩이 문을 열게 되어 매우 반갑다”며 “오늘 개관식은 기업 및 학계 등 관련 전문가의 네트워크를 강화하고, 국내 핀테크 산업 생태계의 단단한 구축을 바탕으로 더욱 생산적인 역할을 해나갈 것임을 확신한다”고 말했다. 한편, 김 의원은 4차 산업혁명과 관련 지난 2월, 전 세계적으로 블록체인 기술에 기반한 가상화폐에 관심이 크게 증가하고 있으나, 이와 관련한 법적 근거가 부재한 상황에서 투자과열이나 사기, 해킹사고 등이 빈번하게 일어나는 등 여러 혼란스러운 상황이 계속되고 있어, 이에 가상화폐와 관련한 자치법적 근거를 마련해 가상화폐와 관련한 각종 사회적문제에 선제적으로 대응하기 위해 ‘서울특별시 가상화폐 거래 활성화와 안전성 증진에 관한 조례’를 발의했으며, 현재 조례 제정을 위한 토론회를 준비하고 있다. 온라인뉴스부 iseoul@seoul.co.kr

30대 직장인 A씨는 지난해 10월 가상화폐(암호화폐)에 9000만원을 넣었다. 5년 넘게 직장생활을 하며 안 쓰고 안 먹고 모은 ‘피 같은 돈’이었다. 원래는 1년 뒤쯤 결혼 자금으로 쓰려던 참이었다. 하지만 주변에서 ‘억 단위로 벌었다’는 이야기를 듣고 ‘대박’은 아니더라도 ‘소박’은 거둘 수 있을 거라 기대했다. 하지만 지금은 절반도 남지 않았다. 비트코인과 이더리움, 리플 등 주요 가상화폐에 나눠 넣었던 잔고는 4000만원을 겨우 웃돈다. A씨는 “지난 연말까지 꽤 쏠쏠하게 수익을 거둬 새 차까지 뽑았는데 지금은 사글셋방 구할 상황도 못 된다”면서 “자칫 결혼까지 늦춰야 하는 게 아닌가 싶어 눈앞이 캄캄하다”고 한숨을 내쉬었다. 한때 수십 배 수익을 인증하는 글이 쏟아지던 가상화폐 관련 커뮤니티에서는 이제 손실을 걱정하거나 투자를 그만두겠다는 글이 대부분이다. 손실이 -90%를 넘는 사례도 흔하다. 또 다른 투자자 B씨는 “투자한 2000만원이 200만원으로 쪼그라들어 아무런 의욕이 없다”고 호소했다. 지난해 말부터 우리나라를 포함해 전 세계적으로 몰아친 가상화폐 광풍이 최근 잦아들면서 투자 손실과 정신적 피해를 호소하는 투자자들이 속출하고 있다. 해킹 등 각종 사고와 탈세 수단으로 악용되는 사례도 잇따르면서 각국은 가상화폐 규제를 정비하고 있다. 일부 국가는 가상화폐를 새로운 성장동력으로 삼으려는 모습도 보인다. 각국의 가상화폐 정책을 통해 우리의 바람직한 대안을 살펴본다.●가상화폐공개 372개 중 5%만 실제 진행 23일 금융권에 따르면 최근 가상화폐 업계의 이슈는 거래소 보안을 둘러싼 ‘거래소 리스크’다. 올해 초부터 일본 등에서 대규모 가상화폐 거래소 해킹이 잇따라 터졌기 때문이다. 홍콩 거래소 바이낸스가 지난 8일 한때 피싱 사이트로 연결되면서 투자자들은 또다시 거래소 해킹이 터질 수 있다는 공포에 빠졌다. 투자자들이 가상화폐공개(ICO)로 유망 코인에 투자하며 일확천금을 노리지만, 상당수는 사업계획만 있는 ‘사기’로 드러났다는 통계도 속속 나온다. 글로벌 회계법인 어니스트앤드영(EY)은 최근 372개 ICO 백서 가운데 실제 사업을 진행하는 경우는 5%에 불과했고 84%는 순수한 아이디어 수준이라고 분석했다. 가상화폐의 위험에 대한 경각심이 높아지면서 뒷짐을 지고 있던 일본과 미국 등 각국 당국도 움직이고 있다. ‘규제 공백’을 채우고 실제 규제 집행에도 나서는 분위기다. 일본 금융청은 지난 1월 발생한 코인체크 해킹 사태를 계기로 모든 가상화폐 거래소에 대한 긴급 실태 조사를 실시하고 이달 초 가상화폐 거래소 비트스테이션과 FSHO가 ‘고객 자산을 사적으로 유용했다’며 영업정지 명령을 내렸다. 일본은 마운트곡스 파산 이후 가상화폐 사고 방지를 위한 대비책으로 거래소 등록제를 시작했다. 그러나 등록제를 시행하기 이전부터 영업을 해오던 ‘간주업자’는 특례로 영업을 이어 갈 수 있었고, 간주업자인 코인체크에서 사고가 터지자 뒤늦게 수습에 나선 것이다. 미국 증권거래위원회(SEC)도 지난 7일 연방 차원에서 가상화폐 거래소 등록제를 시행하겠다고 밝혔다. 증권으로 분류할 수 있는 가상화폐를 다루던 SEC가 거래소까지 잡겠다고 나선 것이다. 그동안 미국은 비트라이선스를 도입한 뉴욕 같은 주에서만 거래소 등록제가 시행됐다. 앞서 지난 1월 SEC는 ‘어라이즈뱅크가 허위광고를 하며 SEC에 등록하지 않은 채 ICO로 6억 달러를 조달했다’며 자금 전액을 동결했다. 모든 나라가 규제 허들을 높이고 있는 것은 아니다. 몇몇은 이해관계에 따라 거래소나 ICO에 대해 느슨한 잣대를 대고 규제 속 ‘틈새시장’을 노리고 있다. 싱가포르나 스위스가 대표적이다. 싱가포르는 지난해 11월 발표한 ICO 가이드라인에서 가상화폐를 ‘증권’으로 보겠다고 했지만, 싱가포르의 금융감독기구인 싱가포르통화청(MAS)은 가상화폐에 증권과 같은 잣대를 대지는 않는 분위기다. 법 집행까지 나서지 않는다는 뜻이다. ‘가상화폐 국가’를 지향하는 스위스는 가상화폐를 자산으로 정하고 자율 규제를 택하고 있다. 스위스 주크 지역을 가상화폐 허브 도시라는 뜻의 ‘크립토밸리’라고 부르며 ICO 중심지로 키우고 있다. 이를 두고 싱가포르는 ‘아시아의 금융 허브’라는 타이틀을 지키길 원한다는 해석이 우세하다. 스위스는 은행 비밀법이 폐지되고 자금세탁방지가 강화되면서, 빠져나간 자금을 코인 관련 자금으로 메우고자 한다는 진단이 나온다. ●자금세탁·탈세 등 방지 위해 국제 공조 이어질 듯 다른 나라들은 싱가포르나 스위스처럼 왜 가상화폐 시장을 선점하려고 하지 않을까. 가상화폐에 투자할 사람이 많은 미국, 일본, 한국 등은 투자로 인한 피해가 산업을 장려하는 이익보다 크기 때문이다. 스위스나 싱가포르는 그 반대다. 미국은 가상화폐가 탈세 수단으로 떠오르는 데 우려가 높다. 스티븐 므누신 미국 재무장관은 “가상화폐가 ‘디지털판 스위스 은행’이 되지 않도록 각국이 협력해야 한다”고 말하기도 했다. 블룸버그 등은 이미 가상화폐를 탈세에 이용하는 사례가 나타나고 있어 정부 대응이 늦었다고 평가하기도 한다. 가상화폐가 자금세탁이나 테러 자금에 악용되는 데는 세계적 수준의 공조가 이어질 전망이다. 지난 21일 주요 20개국(G20) 재무장관·중앙은행은 오는 7월까지 가상화폐 관련 규제 권고안을 마련하기로 했다. 금융안정위원회(FSB), 국제자금세탁방지기구(FATF) 등 국제기구를 중심으로 연구한 뒤 신중하게 접근하겠다는 입장이다. 천창민 자본시장연구원 연구원은 “유럽 각국은 자금세탁방지 등과 관련된 합의를 끝낸 상태라 전 세계적 범위에서도 충분히 규제가 가능하다”면서 “다만 각국의 이해관계 차이로 (7월 권고안은) 통일된 규제보다 원칙을 세우고 각국이 자금세탁이나 테러 자금 지원 등을 막는 협조 체제를 만드는 방향이 될 것”이라고 말했다. ●“거래소 요건 강화 등 정교한 법 제정 필요” 우리도 규제를 정교하게 만들어야 한다는 진단이 나온다. 국내에서도 자금세탁방지 가이드라인이 강화됐지만 은행에만 적용된다. 국회에 상정된 3개 법안은 거래소에도 자금세탁방지 의무를 부과하지만, 거래소의 자격 요건을 느슨하게 만드는 등 빠져나갈 구멍이 많다는 지적이 많다. ICO에 대한 정의가 정교하지 않다는 분석도 나온다. 거래소의 안정적인 운영이나 보상을 위한 자기자본 확보가 중요하다는 목소리도 많다. 가상화폐 거래소는 한번 해킹 사고가 터지면 사실상 코인 회수가 어렵기 때문이다. 지난해 두 차례 해킹사고를 겪은 국내 거래소 유빗은 투자금의 70%를 환급해 주겠다고 했지만 지급이 늦어지면서 투자자들은 손해배상소송을 진행 중이다. 황세운 자본시장연구원 연구원은 “비트코인 등 가상화폐는 준금융 자산으로서 가능성이 있지만 거래소 규정이 먼저 강화돼야 한다”면서 “운영 기준을 자기자본 200억원 수준으로 높이고 거래소가 직접 거래에 참여하는 ‘딜러’가 되지 못하도록 하는 조치가 필요하다”고 말했다. 현행 자본시장법은 대체거래소(ATS) 설립을 위한 최소 자기자본은 200억원으로 정하고 있다. 자기 매매를 할 경우는 500억원으로 허들이 더 높다. 그에 비해 정병국 의원안과 박용진 의원안은 가상화폐 거래소에 각각 1억원과 5억원의 자기자본만 요구한다. 정태옥 의원안은 자기자본이 아닌 자본금(30억원)만 정하고 있다. 천 연구원은 “세 법안 모두 다른 금융업법이나 가상화폐 하루 거래 금액을 감안할 때 요구하는 자기자본 수준이 낮다”며 “신규 사업자를 막지 않기 위해 거래소의 거래 규모에 따라 자기자본 기준을 차등화하는 것도 대안”이라고 덧붙였다. 김주연 기자 justina@seoul.co.kr

행정안전부는 1일 ‘공공아이핀’ 본인인증 서비스가 오는 7월부터 민간아이핀으로 일원화되면서 신규발급과 재인증이 중단된다고 밝혔다. 그 전까지 주민센터에서 신규발급이나 재인증을 받으면 최대 3년(인터넷은 최대 1년)까지 사용할 수 있다. 주민번호를 대신하는 공공아이핀은 그동안 민간아이핀(NICE평가정보, SCI평가정보, 코리아크레딧뷰로)과 같은 서비스로 인식됐지만 발급 체계와 방법이 달라 이용자에게 혼란을 준다는 지적이 많았다. 만 14세 미만은 공공아이핀만 발급받을 수 있었으며 휴대전화를 통한 발급은 민간아이핀만 가능했기 때문이다. 게다가 2015년 3월 해킹사고로 75만건의 공공아이핀이 부정 발급되는 사태가 빚어져 공공아이핀의 존립 여부에 큰 타격을 받았다. 본인인증 수단의 다각화도 이번 중단의 원인이다. 아이핀의 경우 따로 13자리 번호를 발급받고 2차 비밀번호까지 지정해야 하지만 휴대전화의 경우 인증번호만 입력하면 손쉽게 본인인증을 할 수 있다. 올해부턴 신용카드로도 본인인증을 할 수 있게 된다. 지난해 방송통신위원회 결정에 따라 7개 신용카드사에서 모바일 애플리케이션과 휴대전화 ARS, 카드사 홈페이지 접속 등 3가지 방식의 본인인증 서비스를 제공한다. 이에 따라 행안부는 160만명에 달하는 기존 사용자들과 중단 전까지의 유입 인원에 대한 사후 관리 업무만 남기고 나머지는 민간으로 이양하기로 했다. 3개 민간아이핀 사용자는 400만명 정도다. 더불어 공공아이핀만 발급받을 수 있었던 만 14세 미만 청소년의 경우 정보통신망법 개정을 통해 민간아이핀을 만들 수 있도록 할 방침이다. 민나리 기자 mnin1082@seoul.co.kr

은행 가상계좌서비스 중단도 고려”가상화폐 거래소 해킹? 자작극 의심“ 정부가 비이성적인 가상화폐 투기 열풍에 칼을 빼들었다. 가상화폐 거래소를 직접 점검해 불법 행위가 적발될 경우 폐쇄하겠다는 단호한 방침을 밝혔다. 반사이익을 노리고 가상화폐 거래소 계좌를 앞다퉈 열어 준 시중 6개 은행에 대해서는 ‘송곳 감사’에 나섰다.최종구 금융위원장이 8일 긴급기자간담회에서 내놓은 발언을 보면 가상화폐에 대한 정부의 불신을 짐작할 수 있다. 최 위원장은 ”가상통화(화폐) 투기 열풍이 이어지고 있지만 지급수단으로서 기능을 수행하지 못 한다“면서 ”자금세탁, 사기, 유사수신 등 불법 목적으로 활용되고 있고 가상통화 취급업소(가상화폐 거래소)에 대한 해킹 문제나 비이성적인 투기과열 등 부작용이 심각한 상황“이라고 진단했다. 특히 최 위원장은 ‘법의 사각지대’에 놓인 가상화폐 거래소를 정조준했다. 그는 ”가상통화 취급업소에 대한 직접적인 규제체계가 사실상 없어 그 안에서 어떤 일이 벌어지고 있는 지 어느 누구도 제대로 알지 못한다“고 지적했다. 최근 가상화폐 거래소 해킹사고, 또는 전산사고에 따른 거래중단 등의 사고가 발생해 피해자가 생겨났지만, 실태를 파악할 수단이 없어 ‘자작극’일 의심마저 일고 있다는 것이다. 이에 따라 정부는 관계기관 합동으로 가상통화 취급업소 폐쇄 등을 포함한 모든 가능한 대안을 검토해 추진할 계획이다. 최 위원장은 ”위장사고의 가능성, 시세조종, 유사수신 등과 관련해 가상통화 업소를 철저히 조사하고 이 취급 업소들이 가상화폐를 실제로 보유하고 있긴 한건지 등도 상세히 들여다 볼 것“이라고 말했다. 정부는 이날부터 금융정보분석원(FIU), 금융감독원을 동원해 가상화폐 거래소에 가상계좌를 제공한 농협, 기업은행 등 6개 은행에 대해 현장점검에 나섰다. 은행이 가상통화 취급업자와 거래에서 위험도에 상응하는 높은 수준의 관리조치를 취했는지 중점적으로 살펴보고 부적절하거나 불법적인 행위가 발견되면 가상계좌 서비스를 중단하게 할 것이라고 정부는 설명했다. 최 위원장은 ”취급업소에 대한 직접 규제는 아니지만 이를 통해 거래를 많이 차단하거나 경우에 따라 거의 봉쇄하는 효과도 있을 것“이라고 기대했다. 투자자나 관련 업계에서는 가상화폐에 대한 과도한 정부 규제가 4차 산업 혁명을 이끄는 블록체인 기술 발달을 저해할 수 있다고 지적한다. 이에 대해 최 위원장은 ”비이성적인 투기 과열의 부작용이 규제에 따른 비용을 훨씬 초월할 만큼 심각하다“면서 ”가상통화와 관련 없이 블록체인 기술은 발달할 여지가 얼마든지 있다“고 반박했다. 규제가 과연 먹히겠느냐는 의구심에 대해서는 ”가상통화 거래 규제는 입법을 통해 해야 한다“면서도 ”다만 법이 만들어질 때까지 무작정 기다릴 수 없어 무분별한 가상통화 거래의 위험성에 계속 경고를 하겠다는 취지“라고 말했다. 오달란 기자 dallan@seoul.co.kr

국군 사이버사령부 창군 이래 처음으로 군 내부 전용 사이버망이 외부 해킹세력에 뚫려 일부 군사기밀까지 유출된 것으로 확인됐다. 군은 북한 소행으로 추정하고 있다. 　국방부 관계자는 5일 “군 인터넷 백신체계 해킹사고 조사를 진행하던 중 국방망 일부 컴퓨터도 악성코드가 감염된 것이 식별됐다”고 밝혔다. 이 관계자는 “합동조사팀을 구성해 관련 내용을 조사한 결과, 군사비밀을 포함한 일부 군사자료가 유출된 것으로 확인됐다”면서 “북한의 소행으로 추정된다”고 말했다. 　군 내부 전용망이 해킹을 당한 것은 군이 만들어진 이래 처음이다. 만약 해킹으로 새어나간 기밀 중 우리 군의 작전계획 등이 포함돼 있다면 이를 새로 작성해야 하는 상황까지 벌어질 수 있다. 앞서 더불어민주당 김진표 의원은 지난 9월 국군 사이버사령부의 백신서버가 해킹당했다고 주장한 바 있다. 당시 군은 내부망은 안전하다고 설명했지만 조사 결과 이마저 뚫린 것으로 나타난 것이다. 　강윤혁 기자 yes@seoul.co.kr

김소라(41·여)씨에게 공공 아이핀(I-PIN)이 해킹으로 뚫렸다는 게 갖는 의미는 생각만큼 크지 않았다. “가입했는지 잘 기억이 안 나는데요.” 평범한 아이 엄마인 김씨는 예전엔 주민등록번호 대량유출 소식을 들을 때마다 불안했다고 했다. 하지만 개인정보 유출이 계속 이어지자 말 그대로 포기해 버렸다. “하루에도 몇번씩 스팸 문자에 광고 전화가 옵니다. 대통령 주민등록번호도 유출되는 나라에서 뭘 더 기대하겠어요.” 김씨는 “그래도 혹시나 하는 마음에” 아이핀을 탈퇴했다. ● 행자부 닷새 만에 “아이핀 폐지 미검토” 10일 행정자치부는 공공 아이핀이 해킹 피해를 당해 75만건이 부정발급된 것에 대해 공식 사과하면서 “근본적인 재발방지 대책을 추진하겠다”고 약속했다. 시민단체에서 꾸준히 제기해 온 아이핀 폐지는 검토하지 않고 있다고 밝혔다. 아이핀의 근본적인 문제점인 주민등록번호제도 개혁에 대해서도 언급하지 않았다. 행자부가 밝힌 “근본적인 대책 추진”에 정작 근본적인 고민은 없었다는 지적이 나온다. 행자부는 이날 “공공 아이핀 부정발급으로 국민에 심려와 걱정을 끼쳐드려 진심으로 사과드린다”고 밝혔다. 정부가 시스템 공격 사실을 발표한 지 닷새 만이다. 김석진 공공서비스정책관은 이와 함께 “공공 아이핀 시스템과 관리·운영 모두에 허점이 있었다”고 시인했다. 그는 “외부 보안전문기관에 의뢰해 사고원인을 분석한 결과를 바탕으로 보안강화 대책을 조속히 수립하겠다”면서 “외부 보안전문업체를 통해 시스템 고도화 방안을 마련할 계획”이라고 밝혔다. 행자부는 일단 시스템 전면 재구축보다는 현재 시스템을 고도화하는 쪽으로 방침을 정했다. 하지만 주민등록번호에 대한 대책이 없는 상태에서는 아이핀 시스템을 고도화하더라도 실효성이 떨어질 것이라는 비판이 나온다. 이번 부정발급 사례처럼 75만건이나 대규모로 발급받는 게 아니라 이미 유출된 주민등록번호를 활용해 몇천 건씩 발급하려 했다면 적발 자체가 불가능했을 것이라는 점은 행자부에서도 인정한다. 주민등록번호에 이어 아이핀까지도 명의도용 수단이 될 수도 있는 셈이다. ●인권위, 무작위 일련번호 등 대안 제시 이미 국가인권위원회에서도 무작위 일련번호나 목적별 고유번호 등을 대안으로 제시한 바 있다. 오병일 진보네트워크 활동가는 “주민등록번호 변경을 원하는 사람과 신생아만이라도 일단 무작위 번호를 활용한 새로운 주민등록번호 체계를 적용하고 불필요한 본인식별을 최소화하자”고 제안했다. 하지만 행자부는 지난해 대규모 개인정보 유출 등으로 여론이 악화되자 주민등록번호 제도의 전면 개편에 나서겠다고 했는데도 지난해 10월 공청회 이후 별다른 움직임을 보이지 않고 있다. 그 사이에 아이핀 탈퇴자는 꾸준히 늘고 있다. 행자부에 따르면 지난 5~6일 이후 아이핀 탈퇴자는 하루 평균 500여명으로 기존의 평균 33명보다 15배 이상 늘었다. 번거로운 절차를 거쳐 가입했던 이용자들이 다시 불편을 감수하고라도 탈퇴한다는 것은 행자부로선 뼈아픈 대목이다. 검색어를 통해 사회흐름을 보여주는 ‘구글 검색어 트렌드’를 보면 아이핀을 검색한 횟수는 해킹사고 발표 전에는 하루 평균 20건이 안됐지만 8일부터 14일 사이에는 100건으로 5배 가량 증가했다. 강국진 기자 betulo@seoul.co.kr

공공 아이핀 부정 발급에 대한 행정자치부의 기본적인 입장은 “프로그램의 취약점을 악용한 것이며, 이로 인한 피해는 거의 없다”는 것으로 요약된다. 반면 그동안 아이핀 정책을 비판해온 전문가들은 “취약한 것은 아이핀 그 자체이며, 개인정보 유출 피해는 이미 예견됐다”고 꼬집는다. 5일 행자부에 따르면 해킹은 ‘파라미터 위·변조’라는 수법으로 공공 아이핀 시스템의 취약점을 공격했다. 공공 아이핀에 가입하려면 공인인증서로 본인인증을 거쳐야 하는데, 본인인증이 정상적으로 이뤄진 것처럼 시스템이 오인하도록 데이터(파라미터값)를 변조해 본인인증을 사실상 건너뛰었다. 행자부에선 “파라미터 위·변조 방지는 민간에는 다 돼 있는 초보적인 부분”이라고 밝혔지만 “왜 초보적인 대비도 없었던 것인가”라는 질문에 대해서는 즉답을 피했다. 행자부는 기존에 유출된 주민등록번호와 이름으로 실명확인을 하는 단계를 거쳤는 지는 아직 확인하지 못했다. 이번 해킹 공격에는 2000개가 넘는 국내 아이피(IP)가 동원됐고 중국어 버전 소프트웨어도 사용됐다. 행자부는 “짧은 시간에 대규모로 이뤄진 것으로 봐서 조직적인 범행으로 본다”면서 “내부 관계자 공모 가능성은 전혀 없다”고 단정했다. 재발 가능성을 묻는 질문에는 “없다고 단정해서 말할 수는 없다”고 밝혔다. 정부는 2012년 헌법재판소가 제한적 본인확인제를 위헌으로 판결하고 주민등록번호가 대량으로 유출되는 사고가 잇따르자 2013년부터 공공 아이핀 사용을 본격 장려했다. 현재까지 약 430만명이 공공 아이핀을 발급받았다. 하지만 이번 해킹사고는 공공 아이핀 역시 주민등록번호처럼 대량유출될 수 있고 도용도 가능하다는 걸 드러냈다. 아이핀을 부정 발급받은 뒤 오프라인용 아이핀인 마이핀(My-PIN)을 발급받는 것도 기술적으론 가능하다. 행자부는 아이핀 해킹 사고의 의미를 축소하기에 급급하다는 비판을 받고 있다. 2일 상황을 인지한 뒤 사흘이 지난 5일 오전 11시50분이 되어서야 언론에 보도자료를 배포했다. 오후 기자간담회에선 책임자끼리 서로 말이 다르거나, 본인 말을 뒤집었다. 가령 처음엔 “본인확인과 공인인증서 단계를 건너뛰었다”고 설명하다가 나중에는 “기존에 유출된 주민등록번호와 실명을 확인해 본인확인을 거쳤다”고 한 뒤, 결국 “본인확인은 거친 것으로 추정한다”고 오락가락했다. 진보네트워크센터는 긴급 논평을 통해 “아이핀은 애초 도입되지 말았어야 했다”고 강조했다. 오병일 활동가는 “해킹 피해를 최소화하려면 정보수집을 최소화해야 하지만 아이핀은 불필요한 본인확인을 강요한다”면서 “주민등록번호가 문제인 것은 만능열쇠이기 때문인데 아이핀도 또다른 만능열쇠로 기능한다면 주민등록번호와 동일한 문제가 발생 할 수밖에 없다”고 말했다. 강국진 기자 betulo@seoul.co.kr