[SGI서울보증 해킹사태] 연 300조 계약 책임지는데… 구조적 보안 리스크 드러나

SGI서울보증의 랜섬웨어 사태 이후 단순 해킹 사고 수준을 넘어, 금융 공공기관의 구조적 보안 리스크와 대응 부실 문제를 전방위로 드러났다. 금융기관임에도 정보보호 인증 미비, 재해복구망 부실, 초기 대응 지연 등 기본적인 보안 관리와 위기 대응 체계가 전무했다는 지적이다.

17일 업계 따르면 서울보증의 랜섬웨어 해킹 사고와 관련해 그간 수면 아래 있었던 구조적인 문제를 포함해 취약점을 여과 없이 드러냈다는 평가가 나온다. 서울보증은 금융기관으로서 기본적인 ‘정보보호 관리체계’(ISMS·ISMS-P) 인증조차 갖추지 않았다.

서울보증은 연간 300조 원 이상 규모의 보증 업무를 담당하는 업계 1위 보증기관이라는 이름이 무색하게 금융권 필수 보안 인증인 ISMS, ISMS-P를 취득하지 않았다. 국민 생활과 직결되는 금융기관이 민간기업보다도 낮은 보안 체계를 갖추고 있었던 셈이다.

금융당국은 금융사고 발생 시 ‘핵심 업무 24시간 내 복구’ 원칙을 관련 업무 규정을 통해 고지하고 있지만, 이마저도 지켜지지 않았다. ‘재해복구망’(DR망)까지 감염되면서 전산망 이중화 체계는 사실상 무력화했다. DR망은 본 전산망이 마비됐을 때 대체 운영을 위해 필수적인 장치다.
하지만 이번 SGI서울보증 사태에서는 DR망마저 랜섬웨어에 감염돼 복구까지 최소 사흘 이상 걸리는 초유의 상황으로 이어졌다.

국민 생활 밀접 서비스가 동시에 멈췄다는 점도 문제로 지적됐다. SGI서울보증의 보증 업무는 전세대출, 주택담보대출, 휴대폰 할부, 자동차 할부 등 일상 금융 서비스에 깊숙이 연계돼 있다. 시스템 마비로 이들 업무가 전면 중단되면서, 은행 창구에서는 전세대출 보증서 발급이 지연돼 고객 불편이 속출했고, 보험 설계사 수수료 지급도 늦어졌다.

사고 초기 대응과 소통 부족 역시 부족했다. 사고 직후 금융보안원 신고가 즉각 이뤄지지 않았고, 고객 안내 역시 하루 이상 늦어졌으며, 복구 예상 일정 등도 구체적으로 공개되지 않아 불안만 증폭했다.

소 잃고 외양간 고치듯 한 금융감독원의 대응 역시 도마 위에 오른다. 금감원은 IT검사국을 투입해 현장 점검에 나섰으며, 보험업법·전자금융감독규정 위반 여부를 집중적으로 조사하고 있다. 만약 규정 위반 사실이 확인될 경우 과징금 부과나 업무 정지 등 제재가 불가피하다.

금융보안 관련한 한 관계자는 “단순 전산 장애를 넘어 금융 공공기관의 보안이 이 정도 수준이라는 점에서 충격적인 사건”이라며 “금융권 보안사고 관련한 대응 매뉴얼과 인프라 전반을 다시 점검하는 계기가 돼야 할 것”이라고 했다.

한편 서울보증은 이날 오전 10시부터 핵심 전산시스템을 복구해 보증서 발급을 재개했다. 전세대출 지연 등 시스템 장애에 따른 피해사례가 확인되는 대로 전액 보상한다는 방침이다.

SGI서울보증 관계자는 “피해신고센터에 접수된 내용과 관련하여 별도의 추가 ‘신고절차’가 필요하지 않으며, 향후 보상절차 진행 시에는 접수 시 남겨둔 연락처로 회사가 직접 방문할 예정”이라며 “‘피해신고센터’를 통한 고객 불편 해소 및 보상절차 진행과 함께 향후 조사 결과에 따라 추가 경과 및 조치 사항을 외부에 투명하게 공개할 계획”이라고 했다.


홍석경 글로벌이코노믹 기자 hong@g-enews.com