대신증권 고객 3만8490명의 개인·신용정보가 해킹으로 유출됐다. 대신증권은 10월 28일 조사 결과와 재발방지 대책을 발표했다고 스포츠서울은 전했다. 유출 항목은 8개이며, 이 중 3개는 암호화된 상태였다.
확인된 사실
대신증권에 따르면 지난 17일 투자일임 비대면 증권계좌 개설 연계 서버에서 해커의 비정상적인 접근 징후가 포착됐다. 회사는 공격에 쓰인 IP와 우회 접속 IP를 즉시 차단하고 금융당국에 신고한 뒤 금융보안원과 함께 침해 범위를 조사했다. 열흘간 정상적인 서비스 요청으로 위장한 신호 6만여건을 전수조사한 결과, 지난 26일 고객정보 유출을 확인했다고 뉴스토마토는 전했다.
유출된 항목은 다음 8개다.
- 고객명, 이메일, 주소, 통신ID, 은행명
- 입·출금 계좌번호(암호화)
- 대신증권 종합계좌번호(암호화)
- 휴대전화번호(암호화)
주민등록번호와 계좌 비밀번호 등 핵심 인증정보는 유출 대상에 포함되지 않았고, MTS·HTS 등 핵심 거래 시스템에서도 침입 흔적은 발견되지 않았다고 스마트비즈는 전했다. 대신증권도 현재까지 2차 피해 정황은 확인되지 않았다고 밝혔다고 스포츠서울이 전했다.
다만 스마트비즈는 핵심 인증정보가 제외됐더라도 유출된 개인정보를 조합하면 금융회사나 공공기관을 사칭하는 피싱에 악용될 수 있다고 전했다. 암호화가 적용됐다는 사실만으로 악용 가능성이 사라지는 것은 아니라는 설명도 덧붙였다. 의심스러운 연락을 받으면 회신하지 말고 대신증권 공식 홈페이지나 기존 고객센터를 통해 사실관계를 확인하는 것이 안전하다고 같은 보도는 전했다.
대신증권 진승욱 대표이사는 “이번 개인(신용)정보 유출을 엄중하게 받아들이고 있으며, 고객 여러분께 깊이 사과드린다”고 밝혔다고 위키리크스한국은 전했다. 회사는 정보유출 대상 고객에게 유출 항목을 개별 안내하고, 손해가 확인되면 법령과 절차에 따라 배상할 계획이라고 밝혔다.
아직 확인되지 않은 것
해당 서버 침해의 구체적인 침투 기법과 최초 접근 경로, 특정 외부 업체의 보안 취약점이나 공급망 공격 여부는 아직 확인되지 않았다고 스마트비즈는 전했다. 같은 보도는 암호화 방식과 키 관리 상태 등도 추가 확인이 필요한 부분이라고 설명했다.
대신증권은 28일 유출 대상 고객에게 개별 통지를 시작했으며, 관계자는 “유출 대상 고객에 대한 개별 안내와 피해 구제 절차를 진행하고 있다”고 밝혔다고 스마트비즈는 전했다. 구체적인 배상 진행 내역과 접근 권한·보안취약점 점검 결과는 제공된 보도에서 확인되지 않는다.
