[뉴스토마토 이지유 기자] KB국민은행이 금융권 연쇄 해킹 사고 당시 시중은행 가운데 가장 먼저 공격받고도 유출 정황을 확인하기까지 약 80시간이나 걸린 것으로 나타났습니다. 초기 공격을 일상적인 이상 트래픽으로 판단해 단순 IP 차단에 그치면서 추가 정보 유출을 막지 못했다는 지적이 나왔는데요. 금융당국 보고도 유출 정황 확인 다음 날 이뤄진 데다, 내부에서 해킹 관련 로그 삭제를 지시했다는 의혹까지 제기되면서 초기 대응과 사고 처리 과정을 둘러싼 논란이 커지고 있습니다.
19일 국회 정무위원회의 금융감독원 국정감사에서 김용만 민주당 의원은 증인으로 출석한 이환주 KB국민은행장을 상대로 해킹 사고 초기 대응과 늑장 보고, 로그 삭제 의혹 등을 집중 추궁했습니다.
김 의원에 따르면 해커는 지난 9월27일 오후 11시19분 국민은행 망에 처음 접근해 시중은행 가운데 가장 먼저 공격받았지만, 국민은행은 이를 일상적인 이상 트래픽으로 판단해 단순 IP 차단 조치만 했습니다. 이후 9월29일 새벽 베트남 IP를 통한 2차 공격이 발생해 81명의 정보가 추가로 유출됐습니다.
김 의원은 초기 침입 당시 공격 징후를 제대로 인식하고 적극적으로 대응했다면 추가 유출을 막을 수 있었다고 지적했습니다. 이 행장은 초기 대응이 미흡했다는 지적에 "신속하게 차단하고 대응하지 못한 점에 대해 아쉬움이 많이 남는다"고 밝혔습니다.
금융당국 보고가 늦어진 점도 도마 위에 올랐습니다. 김 의원은 신한은행이 9월29일 트래픽 이상을 감지해 다음 날 금융당국에 보고한 반면, 국민은행은 최초 침입 이후 약 80시간이 지난 9월30일 유출 정황을 최종 확인했다고 밝혔습니다. 금감원 보고는 다음 날인 10월1일 오후 6시께 이뤄졌다습니다.
김 의원은 "법정 시한이 24시간인데 불과 1시간 남겨두고 보고했다"며 "즉각 보고를 해야 하는데 왜 이렇게 오래 걸리나"라고 질타했습니다. 사고를 가장 먼저 겪고도 유출 확인과 당국 보고까지 늦어지면서 대응 시기를 놓친 것 아니냐는 취지입니다.
유출 사실을 파악한 경위도 쟁점이 됐습니다. 김 의원은 국민은행이 자체적으로 유출을 확인하기보다 금융보안원으로부터 공격자 IP 정보를 전달받고 고객 정보 153건이 거래된 사실을 확인한 것 아니냐고 꼬집었습니다. 이 행장은 금융보안원의 IP 정보가 전달되기 전에 자체적으로 차단 조치를 했다고 해명했지만 김 의원이 구체적인 확인 시점을 묻자 이 행장은 "30일 오전에 이상 징후를 확인했다"고 답했습니다.
내부 로그 삭제를 통한 은폐 의혹도 제기됐습니다. 김 의원은 9월30일 오전 유관부서 세 곳이 모여 회의하고 정보보호최고책임자(CISO)에게 보고하는 과정에서 정보보호 담당 임원이 로그 삭제를 언급했다는 제보가 있다고 주장했습니다.
이 행장은 처음에는 "없었다"고 답한 뒤 "제가 주체로 지시한 적이 없다는 말씀"이라고 말을 바꿨습니다. 이에 김 의원이 본인의 지시 여부가 아니라 회의 과정에서 로그 삭제 관련 언급이 있었는지, 관련 내용을 보고받았는지를 묻는 것이라고 재차 추궁하자 이 행장은 "보고받은 것 없다"고 답했습니다.
국민은행은 로그 삭제 관련 언급 자체가 있었는지 명확하게 설명하지 못하면서 내부 사고 대응 과정에 대한 의문도 남겼습니다. 최초 공격받은 이후 추가 공격으로 정보가 유출된 데 이어 사고 정황 확인과 금융당국 보고에도 상당한 시간이 걸렸는데요. 여기에 로그 삭제 의혹을 둘러싼 답변까지 엇갈리면서 초기 대응이 적절했는지뿐 아니라 사고 발생 이후 내부 보고와 기록 관리가 제대로 이뤄졌는지도 추후 밝혀져야 할 대목입니다.
이환주 KB국민은행장이 19일 서울 여의도 국회에서 열린 정무위원회 국정감사(금융감독원 등)에서 안경을 고쳐 쓰고 있다. (사진=뉴시스)
이지유 기자 emailgpt12@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김의중 금융부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지