새마을금고, 해킹 사과문 '이벤트 배너'로 공지했다가 수정…유출 조회도 도마

핵심 요약

• 새마을금고중앙회가 개인정보 유출 사과문을 이벤트 배너로 함께 노출했다가 단독 공지로 수정했다
• 유출 조회는 이름과 휴대전화번호만 입력하면 별도 본인인증 없이 결과가 표시된다
• 이번 해킹으로 공제회원 400명대의 개인정보가 유출됐다

새마을금고중앙회가 고객 개인정보 유출 사과문을 고객감사 이벤트와 함께 자동 순환 배너로 노출했다가 사과문 단독 공지로 변경한 것으로 확인됐다. 개인정보 유출 내역 조회에서도 이름과 휴대전화번호만 입력하면 별도 본인인증 없이 결과가 표시되는 것으로 파악됐다.

이번 해킹으로 새마을금고 공제회원 400명대의 개인정보가 유출됐다. 고객별로 유출 항목은 다르지만 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 연락처, 주소, 이메일, 잔액 등이 포함됐다.

사과문 노출 방식 변경

14일 금융권에 따르면 새마을금고중앙회는 전날 공제회원 개인정보 유출 사과문을 홈페이지에 게시하면서 고객감사 이벤트와 사과문을 하나의 자동 순환 배너에 함께 배치했다. 일정 시간이 지나면 사과문에서 이벤트 안내로 화면이 전환되는 구조였다.

이후 중앙회는 사과문을 단독으로 노출하는 방식으로 변경했다. 현재 사과문 하단에는 개인(신용)정보 유출 내역 조회 기능이 마련됐다.

조회 절차와 보안 우려

조회 화면에는 이름과 휴대전화번호 입력란이 제공된다. 실제 이름과 휴대전화번호를 입력하면 별도의 본인인증 절차 없이 개인정보 유출 유무를 확인할 수 있다.

이름과 휴대전화번호는 제3자도 쉽게 알 수 있는 정보여서 타인의 정보로도 유출 여부를 확인할 수 있는 것 아니냐는 우려가 제기된다. 이에 따라 조회 과정에서 본인확인 절차를 강화하고 비정상적인 반복 조회를 차단하는 등 보안 조치를 점검할 필요성이 나온다.

해킹 인지와 대응

중앙회는 지난 10일 발생한 해킹 공격을 12일 인지하고 13일 금융당국에 신고했다. 해커의 접속 IP와 우회 접속 IP를 차단하고 추가적인 홈페이지 취약점 점검과 보완 조치를 수행했다고 밝혔다.

공격에 동원된 IP 주소는 중국, 태국, 한국 등 3개국 소재로 잠정 확인된 것으로 알려졌다. 중앙회는 유출 고객에게 문자로 개별 통지하고 있으며 이번 사고로 피해가 발생하면 전액 보상한다는 방침이다.

ⓒ K새벽 무단 전재 및 재배포 금지