금융감독원 사이버 감독관들은 목요일 증권사가 9 월 크리덴셜 스터핑 공격 후 고객 알림을 늦춰 달라고 했을 때 조용한 유예 기간을 법적으로 허용할 수 없었다고 증언했다 .
9 월 물결
정무위에 제시된 브리핑 자료에 따르면 세 증권사가 도난 모바일 뱅킹 비밀번호가 텔레그램에 올라온 뒤 36 시간 동안 4 만 1000 건 이상 자동 로그인 시도를 기록했다 . 두 곳은 몇 시간 안에 비밀번호를 재설정했고 , 한 곳은 레거시 WebLogic 게이트웨이를 패치하는 동안 72 시간 공개 발언 유예를 요청했다 .
전자금융 담당 박민수 국장은 개인정보 유출 가능성이 생기면 고객 통지 규정을 이유로 지연 요청을 거절했다고 말했다 . 해당 증권사는 대신 앱 · 문자로 당일 경고를 냈다 . 위원회 일부는 이를 칭찬했지만 기술 업체는 원인 분석 전 조기 공지라 비판했다 .
36 시간 동안 4 만 1000 건의 자동 로그인 시도공유 인프라 위험
금융보안원 주간 보고서에 따르면 공격자는 증권 API 에서 같은 비밀번호 목록으로 신용카드 모바일 앱을 시험했다 . 카드사는 성공한 부정 결제를 보고하지 않았지만 , 사기 대응팀은 증권 지갑으로 돈을 옮길 수 있는 계정에 다단계 인증을 의무화할 근거가 됐다고 말했다 .
야당 의원들은 여러 사고 보고에 등장한 API 게이트웨이 공급업체 이름을 요구했다 . 박 국장은 기소가 진행 중이라 거절했지만 , 두 사건이 4 월 업계 경고에 올랐던 미패치 미들웨어 버전과 관련됐다고 확인했다 .
정책 대응
금감원은 연말까지 고객 통지 시한을 구속력 있게 공표하고 , 주문 관리 시스템을 호스팅하는 클라우드 하청 업체 현장 점검을 확대하겠다고 했다 . 위원들은 싱가포르식으로 비밀번호 변경 후 12 시간 출금을 막는 규정을 물었고 , 박 국장은 12 월 태스크포스 보고서에서 검토하겠다고 답했다 .
고객에게는 익숙한 교훈이다 . 증권 API 가 흔들리면 카드 연계 계정도 다음 타깃이 될 수 있고 , 규제자는 홍보팀을 위해 공시를 미루지 않는다 .
금감원은 연말까지 고객 통지 시한을 구속력 있게 공표하고 주문 관리 클라우드 하청 점검을 확대하겠다고 밝혔다 . 싱가포르식 비밀번호 변경 후 12 시간 출금 차단은 12 월 태스크포스에서 검토한다 . 증권 API 가 흔들릴 때 카드 연계 계정도 같은 비밀번호 목록으로 시험당한다는 점이 금융보안원 주간 보고서의 핵심 메시지다 . 한 증권사는 72 시간 공개 유예를 요청했으나 거절됐고 앱 · 문자로 당일 알림을 냈다 . 미패치 미들웨어는 4 월 업계 경고와 연결된 사례로 두 건이 확인됐다 . 세 증권사가 36 시간에 4 만 1000 건 넘는 자동 로그인 시도를 기록했고 두 곳은 몇 시간 안에 비밀번호를 재설정했다 . 박민수 국장은 개인정보 유출 가능성이 생기면 고객 통지 규정을 이유로 지연을 거절했다고 증언했다 . 야당 의원들은 여러 사고 보고에 등장한 API 게이트웨이 공급업체 이름 공개를 요구했으나 진행 중인 기소를 이유로 거절됐다 . 카드사는 성공한 부정 결제를 보고하지 않았지만 다단계 인증 필요성이 강조됐다 .