금융위원회 10월 14일 회의에서 감독 당국은 16개 금융회사가 약 10만 건의 고객정보를 유출당한 사고를 겪었고, 별도 패치 준수 점검에서는 조사 대상 555개사 중 130개사가 소프트웨어 업데이트나 레거시 시스템 통제에 공백을 보고했다고 밝혔다. 위원회는 지금까지 공개된 사건에서 비밀번호나 카드번호 전체 유출은 확인되지 않았다고 강조했다.
이번 회의는 지역은행·저축은행 채널을 겨냥한 여름철 피싱 캠페인 이후 시작된 체크리스트 감사와 유출 사후 분석을 함께 다뤘다. 금융위는 130개사 패치 공백 집계를 능동적 침해 증거가 아닌 예방적 발견으로 규정했지만, 60일 내 보완 계획 제출을 지시할 만큼 심각하다고 봤다.
16건 유출에 담긴 정보
회의 후 공개된 브리핑 슬라이드에 따르면, 침해 필드는 이름·전화번호·주소·일부 식별번호 등으로 요약됐다. 공격 경로는 직원 VPN 자격 증명 탈취와 미패치 엣지 장비로, 팬데믹 이후 원격 접속 확산에 대한 한국의 기존 경고와 맞닿는다.
규제 당국은 16건 모두 주요 계좌번호가 빠져 결제카드 산업 포렌식 감사 의무 기준에 해당하지 않았다고 말했다. 고객에게는 콜센터 인력 배치를 고려해 SMS·앱 알림을 단계적으로 발송했다.
555개사 패치 점검
555개사 체크리스트는 은행·카드사·보험사·자본시장 중개사를 포함했다. 130개사는 핵심 패치 누락, 엔드포인트 업데이트 지연, 고객 데이터 접촉 서버의 지원 종료 운영체제를 보고했다. 금융위는 개별 명단을 공개하지 않고 “레거시 코어”“벤더 관리 장비”“직원 단말”로 묶었다.
감독관은 최악 25%에 외부 모의해킹 재실시를 명령했고, 이사회가 CIO의 패치 로드맵에 예산 항목이 있는지 확인하는 확인서에 서명하도록 했다. 업계 단체는 한국 코어뱅킹 패키지에 영향을 주는 CVE 우선순위를 위해 공동 위협 정보 피드를 요청했다.
반복되는 레거시 이슈
일부 상호금융은 VLAN으로 격리한 Windows Server 2012를 모바일 뱅킹 API와 연결해 운영한다. 규제 당국은 이 구조를 “취약”하다고 불렀다. 패치 공백은 이중화 클러스터 커널 재부팅에 충분하지 않은 야간 몇 분 유지보수 창에서 자주 비롯된다.
금융위 디지털 금융 로드맵에는 클라우드 전환 보조금이 있지만, 소형 여신전문금융회사는 전환 비용이 유출 벌금을 넘는다고 주장한다. 10월 회의는 60일 보완 기간 후 확인서가 거짓이면 벌금이 오를 수 있음을 시사했다.
소비자 영향과 커뮤니케이션
비밀번호·카드번호 유출이 확인되지 않아 강제 카드 재발급은 사기 모델이 고위험으로 분류한 일부에 한정됐다. 금융소비자원은 패치 지연과 범죄 포럼에서의 실제 데이터 판매를 구분하는 FAQ를 냈다. 공백 보고는 행정적 조치이지 고객 손실 사건이 아니라는 점을 강조했다.
그럼에도 16건·10만 건 규모는 더 강한 유출 통지 시한과 중앙 상태 페이지를 정당화한다고 시민단체가 말했다. 여러 금융사가 같은 주에 사고를 공개해 혼선이 컸다는 사례를 들었다.
앞으로 제출해야 할 자료
표시된 130개사는 CVE 조치 증빙, 자체 패치 불가 장비의 벤더 서한, 수명 종료 모듈 철수 일정을 제출해야 한다. 금융위는 12월 집계 통계를 낼 예정이며, 보완 실패 시에만 부진 업체를 공개할 수 있다.
투자자에게 사이버 위생은 자본비율과 함께 이사회 KPI가 됐다. 10월 14일 회의는 시장 전체 매도를 촉발하지 않았지만, 증권사 준법 담당자들은 연말 감사 전 패치 오케스트레이션 도구로 IT 운영비를 재배치한다고 말했다. 여의도의 메시지는 비밀번호·카드번호가 나가지 않았더라도 업데이트 누락을 선행 위험으로 본다는 것이다.
신용평가사는 클라이언트에게 연간 ESG 설문에서 패치 확인서를 묻겠다고 전했다. 인터넷 뱅킹 포털의 미해결 CVE를 스트레스 시나리오의 유동성 커버리지 부족만큼 긴급하게 다룰 것이다.
지역은행은 공동 서비스 벤더 소프트웨어 이미지가 분기별 지원 릴리스보다 한 주기 이상 뒤처지면 합동 감사를 받게 될 것이라고 말했다.