7분 해킹당했는데 119시간이라니···웰컴저축은행의 '1022배 뻥튀기 보고', 왜?

웰컴저축銀 공식 보고는 119시간16분···실제 해킹은 7분 남짓

예가람·현대캐피탈도 계산 제각각···기업별 산정 기준 달라 혼란

24시간 이내 신고 의무 압박에 '실제 공격' '보고 시각' 시차 발생

[DB 웰컴저축은행. 사진=강민석 기자

최근 금융권을 덮친 연쇄 해킹 침해사고와 관련해 금융당국에 보고되는 '사고 지속시간' 산정 기준이 금융사마다 제각각인 것으로 드러났다. 웰컴저축은행의 경우 공식 보고서상 사고 지속시간(119시간 16분)이 회사가 집계한 실제 해킹 공격 시간(7분 남짓)의 무려 1022배에 달하는 왜곡 현상까지 발생했다. 침해사고 발생 및 종료 시각에 대한 법적·제도적 통일 기준이 부재하다 보니, 사고의 실제 규모와 금융사들의 초기 대응 적정성을 객관적으로 비교·검증하기 어렵다는 지적이 쏟아지고 있다.

12일 국회 정무위원회 소속 한창민 사회민주당 의원실이 금융감독원으로부터 제출받은 자료에 따르면 웰컴저축은행의 침해사고 지속시간은 총 119시간 16분으로 집계됐다. 자료상 사고 발생 시각은 지난달 27일 오후 5시 9분으로, 외부 IP 접속 시점을 기준으로 삼았다. 웰컴저축은행은 이달 2일 오후 4시 4분께 사고를 인지했으며, 8분 뒤인 오후 4시 12분께 공격 IP를 차단하는 등 초기 대응에 나섰다. 이후 오후 4시 25분께 공격이 종료된 것으로 확인돼 해당 시점을 사고 종료 시각으로 기록했다. 이에 따라 사고 지속시간은 최초 외부 IP 접속부터 공격 종료까지 총 119시간 16분으로 산정됐다.

다만 웰컴저축은행은 실제 해킹 공격이 이어진 시간은 7분 남짓이라고 설명한다. 회사 측에 따르면 공격은 9월 27일 오후 4시 47분께 시작돼 약 7분 뒤인 오후 4시 54분께 종료됐다. 다만 금융당국에 제출하는 침해사고 보고 서식에는 사고 발생·종료 시각을 기재하도록 돼 있어 실제 공격 시간을 별도로 구분해 보고하기 어려웠다는 설명이다. 웰컴저축은행 측은 "침해사고 발생을 인지한 때로부터 24시간 내 관계기관에 신고해야 하는 법령에 따라 빠르게 보고하다 보니 보고 시간(9월 27일 오후 5시 9분)과 실제 공격 시간(9월 27일 오후 4시 47분) 사이에 약간의 차이가 발생했다"고 설명했다.

이번 사고로 법인 인터넷뱅킹 아이디와 법인명, 대표자 이름, 회사 업무 연락처, 휴대전화번호, 이메일 주소 등이 유출된 것으로 파악됐다. 웰컴저축은행은 유출된 전체 데이터 2370건 가운데 개인정보가 포함된 데이터는 2299건으로 추정했다. 다만 중복값을 제거하지 않은 수치인 만큼 정확한 정보주체 수는 추후 다시 보고할 방침이다.

이와 달리 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행은 실제 정보 유출이 시작된 시점을 실제 해킹 시작 시각으로 기록했다. 예가람저축은행은 9월 28일 오후 3시 11분께 정보 유출이 시작된 것으로 파악했으며, 이틀 뒤인 9월 30일 오후 2시 50분께 사고를 인지했다. 이후 같은 날 오후 5시 7분께 외부 IP를 차단하는 등 추가 유출을 막기 위한 조치를 취했으며, 해당 시점을 사고 종료 시각으로 기재했다. 예가람저축은행에 따르면 현재까지 유출된 개인정보 항목이 성명, 생년월일, 연락처(전화번호 또는 휴대폰번호), 계좌번호, 거래내역, 발급일자, 만료일자, 주민등록번호, 직장명, 입사일, 일련번호 등이다.

현대캐피탈은 사고 지속시간을 산정하는 기준이 또 다른 것으로 파악된다. 지난 9월 27일 오전 6시 37분께 주택 대출모집인 조회 사이트를 대상으로 한 침해사고가 발생했으며, 현대캐피탈은 해당 시점을 사고 발생 시각으로 봤다. 공격은 같은 날 오전 7시 1분께 종료돼 사고 지속시간은 약 24분으로 산정됐다. 현대캐피탈이 실제 사고를 인지한 시점은 이달 2일 오후 5시 8분이지만 사고 지속시간은 최초 공격 발생부터 종료까지의 시간으로 봤다. 유출 규모는 주택 대출모집인 146명으로 유출 정보에는 이름과 여신협회등록번호, 휴대전화번호, 이메일주소 등 공개정보와 성별, 내부식별번호, 주민등록번호 등 비공개정보가 포함됐다.

사례를 종합하면 기업별로 사고 발생·종료 시각을 산정하는 기준이 서로 다른 것으로 나타났다. 웰컴저축은행은 외부 IP 접속 시점부터 해당 IP를 차단한 시점으로 기록한 반면, 예가람저축은행은 실제 정보 유출이 시작된 시점부터 외부 IP를 차단한 시점까지를 사고 지속시간으로 산정했다. 사고 발생·종료 시각과 지속시간의 산정 기준은 법령에 별도로 명시돼 있지 않다. 금융당국은 관련 보고 양식에 기준이 제시돼 있다고 설명하지만, 실제 보고에서는 기업별로 서로 다른 시점이 적용돼 사고 지속시간을 일관된 기준으로 비교하기 어려운 상황이다.

일각에서는 같은 침해사고라도 기업별로 산정 기준이 다르면 사고 규모와 대응 경과를 객관적으로 비교하기 어려운 만큼, 보고 기준의 일관성을 확보할 필요가 있다는 지적이 제기된다.

이와 관련해 금융보안원은 아직 해킹 사고에 대한 명확한 조사 결과가 나오지 않아 산정 기준에 대해 언급하기 어렵다는 입장이다. 다만 업계 한 관계자는 사고 종료 시각 산정과 관련해 "보고 양식에 해킹 IP를 차단한 시점으로 나와 있어 이 기준에 맞춰 작성했다"고 말했다.