[녹색경제신문 = 최정윤 기자]

최근 시중은행 4곳에서 잇따라 발생한 고객정보 유출은 모두 외부에서 접속할 수 있는 조회·업무 창구를 통한 것으로 파악됐다. 유출 은행이 모두 한국은행 디지털화폐 실증사업 '프로젝트 한강' 참여은행이라는 점 때문에 일부 SNS에서는 두 사안을 연결 짓는 주장이 나오고 있지만, 은행권은 예금토큰 시스템과는 "인프라가 다른 별개 사안"이라는 입장이다.

"4곳 다 한강 참여은행"…주요 은행 대부분 참여하는 사업

6일 <녹색경제신문> 취재를 종합하면, 신한·KB국민·하나·BNK부산은행 등 유출 4곳은 모두 프로젝트 한강 참여은행이 맞다. 한강에는 KB국민·신한·하나·우리·NH농협·IBK기업·부산에 경남은행·iM뱅크까지 주요 시중·지방은행 9곳이 참여하고 있다. 공격을 받고도 유출이 없었던 우리·농협은행 역시 참여은행이다.

한강을 둘러싼 논란은 처음이 아니다. 지난해 3월에는 'CBDC는 중국이 만든 것'이라는 주장이 온라인에서 퍼지며 한강 반대 국회 국민청원에 2만여 명이 동의했고, 당시 한은은 "사실무근"이라고 공식 부인한 바 있다.

실제 뚫린 곳은 외부 접속 창구…정기 점검에서 빠져 있던 영역

유출 경로는 모두 핵심 거래 시스템 바깥이었다. 신한은행은 대출모집인용 모바일 조회 서비스에서 정상 본인확인 절차를 건너뛴 접근으로 약 2만5000명의 정보가 유출됐고, 주민등록번호 66건과 연계정보(CI·사업자 간 같은 고객인지 확인하는 식별값) 97건이 포함됐다.

KB국민은행은 직원용 모바일 업무지원시스템에서 119명, 하나은행은 직원이 밖에서 영업할 때 서식 서명 등을 받는 영업지원시스템(ODS)에서 89명의 정보가 빠져나갔다. 부산은행은 외주 개발 인력 11명의 정보가 유출됐다.

금융감독원은 이날 공격자 IP 28개를 전 금융권에 전파하고 "외부에 노출된 IT 자산과 서비스를 식별하고 대외 시스템의 인증·인가·검증 기능을 확인하라"며 8일까지 자체 점검을 요청했다. 은행권 정보보호최고책임자(CISO)들도 이날 은행연합회에서 회의를 열고 외부 접점 관리 실태와 위협정보 공유 방안을 논의했다.

은행들도 대응에 나섰다. 하나은행은 ODS의 외부 접속을 차단하고 인증체계 강화에 나섰으며, 신한은행은 이상거래를 걸러내는 시스템(FDS)에 이번 수법을 잡는 규칙을 추가했다.

공격을 받았지만 유출이 없었던 NH농협은행 관계자는 "인증 우회 및 비정상적인 대량 접속 등 이상행위 탐지를 강화하고, 불필요하게 노출된 외부 접점을 점검·차단하는 등 다양한 시각으로 취약점 점검을 상시 수행하고 있다"고 말했다. 농협은행은 대출모집 관련 외부 서비스가 없어 같은 유형의 공격 대상 자체가 없었다는 설명이다.

이런 외부 접점은 그동안 정기 보안점검에서 빠져 있었던 것으로 알려졌다. 현행 제도는 일정 규모 이상 금융회사에 연 1회 취약점 점검을 의무화하면서도 어떤 전산 자산을 점검 대상에 넣을지는 금융회사 스스로 정하도록 하고 있어, 현업 부서가 따로 운영하는 시스템이나 외부 연계 창구가 점검망 밖에 놓인 경우가 있었다는 것이다. 금융당국은 점검 대상 확대와 주기 단축, 전자금융감독규정 개정 등을 검토하고 있는 것으로 알려졌다.

한강 장부는 한은 시스템에…은행권 "인프라 다른 별개 사안"

프로젝트 한강은 중국 디지털위안화처럼 중앙은행이 개인 지갑을 직접 발행하는 소매형 CBDC와 달리, 한은이 은행에만 발행하는 기관용 CBDC를 바탕으로 은행이 고객 예금을 '예금토큰'이라는 디지털 형태로 바꿔주는 구조다. 개인 거래와 신원 확인은 지금처럼 각 은행이 맡으며, 한은이 개인의 신원정보를 알 수 있는 구조가 아니라는 것이 한은 설명이다. 한은은 개인이 직접 쓰는 범용 CBDC의 도입 여부와 시기를 결정한 바 없다.

개인용 CBDC를 정식 도입한 나라는 바하마·나이지리아·자메이카 등 소수이고, 미국은 지난해 1월 행정명령으로 소매 CBDC 추진을 금지했다.

예금토큰의 발행·이전 기록은 개별 은행 서버가 아니라 한은 CBDC 시스템에서 관리된다. 이번에 뚫린 대출모집인 조회나 영업지원 시스템과는 인프라가 다르다는 것이 은행권 설명이다.

은행권 관계자는 "프로젝트 한강의 예금토큰 관련 인프라는 이번 사고와 인프라가 다르고 별개의 사안"이라며 "디지털화폐의 하나로서 정보 보안이나 해킹 관련 사안은 논의돼야 하지만, 금융당국 조사 결과가 나오지 않은 현재 연결 짓는 것은 조심스럽다"고 말했다. 이 관계자는 "은행권은 새로운 금융서비스 도입에서 고객 정보 보호를 중심에 둬야 할 것"이라고 덧붙였다.

한강 2단계는 금융위원회가 혁신금융서비스로 지정하면서 보안 관련 조건을 붙인 사업이다. NH농협은행 관계자는 "디지털화폐 시스템은 분산원장 기술 기반이라 위·변조가 불가능하다"며 "혁신금융서비스 지정 시 요구되는 부가조건을 고려해 개인정보 보호와 보안심의 기준을 준수할 것"이라고 말했다.

지갑은 은행 앱과 같은 인증 체계…한도·예금자보호 적용

예금토큰 지갑의 장부는 한은·금융결제원·참여은행이 같은 기록을 동시에 보관하는 분산원장 방식으로, 한 곳을 뚫어 잔액을 고치는 것은 사실상 불가능하다는 것이 은행권 설명이다. 지갑의 전자서명 키는 개인키를 별도로 저장하지 않고 서명이 필요한 순간에만 생성하는 방식이 1단계에서 적용됐다. 이용자가 실제로 쓰는 지갑은 은행 앱 안의 메뉴로, 신분증 확인과 본인인증을 거쳐 개설하고 간편비밀번호 등 은행 앱과 같은 인증 체계를 거친다. 이번 사고에서 모바일뱅킹 시스템 침해는 없었다는 것이 은행들 설명이다.

보유한도는 지갑당 1000만원(누적 1억원), 송금은 1회 100만원·하루 500만원으로 제한돼 있고, 7월 금융위 지정으로 예금토큰에도 예금자보호와 착오송금 반환지원이 적용된다. 1단계 실거래에서 보안 사고가 공개된 바는 없다. 금융당국은 이번에 유출된 정보가 보이스피싱 등에 악용될 가능성에 대비해 2차 피해 방지 조치를 강화하기로 했다.

한강 2단계 "일정 변동 없어"…4분기 개시 전 보안점검 진행 중

참여 은행 측에 따르면 현재까지 한강 2단계 일정에 변동은 없는 것으로 알려졌다. 한은은 지난달 2단계 실거래 개시 시점을 당초 9월에서 4분기로 조정하면서 "실거래 테스트를 위한 보안점검을 계속 진행하고 있다"고 설명한 바 있다. 2단계에서는 송금 기능과 사업자 비대면 지갑 개설이 추가된다.

은행권 관계자는 "은행권 차원의 논의가 진행되는 만큼 지켜봐야 할 것"이라며 "지금으로서는 사고 경위를 밝히는 것이 더 중요하다"고 말했다.