씨티은행 이외 추가 피해 가능성 적지만...
대응과정에서 문제 확인되면 대책 마련 필요

[보안뉴스 성기노 객원기자] 지난달 15일 편의점과 할인마트 등에 설치된 청호이지캐쉬 현금입출금기(ATM)가 악성코드에 감염돼 문제가 된 적이 있었다. 이로 인해 해당 기기를 이용한 고객들의 카드 정보가 2,000건 이상 유출되는 사건이 발생한 것이다. 고객들이 자주 사용하는 ATM기기가 이렇게 손쉽게 털리면서 2차 피해 확산이 우려되고 있다.



해당 사건 발생 3주가 지난 시점에서 이번에는 씨티은행 계좌에서 주인도 모르게 돈이 인출되는 사고가 발생했다. 돈은 모두 태국에서 빠져나갔는데, 지난달 편의점 현금지급기에서 유출된 개인정보가 악용된 것으로 보인다. 영문도 모르고 돈 인출 사고를 입은 피해자들은 인출 시 문자를 받았는데, 처음에는 큰돈을 빼려다 잔액이 부족해 재차 액수를 줄여 인출을 시도한 것으로 알려진다. 이런 소액 인출 피해가 씨티은행 계좌에서만 28건 발생한 것으로 알려졌다.

개인정보가 이렇게 무차별로 유출돼 실제 예금 인출 사고까지 난 것은 상당히 이례적이다. 개인정보가 유출되자마자 대응책을 마련했으면 돈 인출까지는 가지 않았을 수도 있다. 그런데 왜 이런 일이 일어난 걸까. 이번에 피해를 입은 씨티은행 측의 미온적인 보안 대응 때문이라는 지적이 제기됐다.

당초 금융감독원은 ATM 카드정보 유출사고가 나자마자 국내 금융사들에게 강력한 대책을 마련하라고 지시했다. 국내 금융사들이 명단을 받아서 일단 거래정지시키고, 고객들에게 연락을 취해 카드를 재발급 받도록 했다는 것. 대부분의 금융사들은 금감원의 조치에 즉각 따랐으나 씨티은행의 경우 해외 이용고객이 많아 거래정지 조치까지 하지 못한 것이 2차 피해의 원인으로 분석되고 있다. 해외에서 현금을 뽑는 고객들이 많아 거래정지를 하지 않은 것이 이런 피해를 불렀다는 것이다. 이와 관련 씨티은행 측은 해외에서의 이용객들이 많은 씨티은행 특성상 일괄적으로 카드 정지를 하긴 어려워 고객들에게 일일이 사유을 설명하고 거래정지 여부를 확인하는 전화작업을 진행하는 도중 사고가 발생했다는 설명이다.

문제는 앞으로도 이와 유사한 사고가 발생할 가능성이 있다는 점이다. 지금까지 확인된 피해는 씨티은행뿐이기 때문에 확산 가능성은 일단 지켜봐야 한다. 다른 은행들은 이번에 정보가 유출된 계좌에 대해 조치를 끝냈기 때문에, 추가로 사고가 날 가능성은 높지 않은 것으로 알려졌다. 일단 씨티은행 측도 정보가 유출된 카드를 외국에서 거래할 수 없게 모두 정지시켰고, 피해금액도 이번 주 내로 보상하겠다는 계획을 세운 것으로 전해진다. 현행법상 개인 잘못이 아닌 불법 개인정보 유출로 인한 금전적 피해는 금융기관이 모두 배상하도록 돼 있다. 

피해액 배상은 당연한 것이지만, 국민들이 ATM 기기를 일상생활에서 자주 이용하는데 그것이 해킹 당해 개인정보가 유출되었음에도 돈까지 인출된 것은 심각한 보안사고다.

금감원은 조만간 씨티은행에 사전지도대로 보호 시스템을 강화하지 않은 이유를 확인할 방침이다. 씨티은행 측이 사고 발생을 알고도 긴급하게 대응하지 못한 사실이 드러나면 재발방지를 위한 대책을 마련해야 할 것으로 보인다. 금융기관의 한순간 방심으로 개인의 돈이 자신도 모르게 빠져나가는 최악의 보안사고가 되풀이되어서는 안 된다는 게 소비자들의 한결같은 지적이다.
[성기노 객원기자(kino@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>