새마을금고 공제 홈페이지 '파라미터 변조' 해킹에 뚫려… 60시간 동안 유출 인지 못 해

새마을금고중앙회 공제 홈페이지가 해킹 공격을 받아 약 400여 명의 고객 개인신용정보가 대거 유출되는 사고가 발생했다. 특히 정상적인 통신을 위장한 '파라미터 변조' 수법에 당해, 최초 침해 이후 피해 사실을 인지하기까지 60시간 가까이 소요되면서 금융권 보안 관제 체계의 허점이 다시 한 번 도마 위에 올랐다.

14일 행정안전부 및 관련 자료에 따르면, 이번 침해 사고는 지난 10일 오전 9시 9분경 새마을금고 공제 홈페이지를 통해 처음 발생했다. 공격자는 클라이언트와 서버 간 전달되는 데이터값을 임의로 조작하는 '파라미터 변조(Parameter Tampering)' 기법을 활용해 보안망을 우회한 것으로 드러났다. 이는 웹 애플리케이션의 주요 취약점 중 하나인 입력값 검증 누락을 노린 전형적인 수법이다.

이로 인해 유출된 정보는 고객번호, 이름, 생년월일, 휴대전화 번호, 집·회사 전화번호 및 주소, 이메일은 물론 계좌번호, 잔액, 암호화된 주민등록번호 등 민감한 금융 정보와 고유식별정보를 광범위하게 포함하고 있다. 현재까지 파악된 피해 공제회원은 약 400여 명에 달한다.

가장 큰 문제는 사후 대응의 지연이다. 새마을금고중앙회는 침해 발생 후 이틀이 지난 12일 오후 8시 55분이 되어서야 외부를 통해 공격 IP 정보를 공유받고 사태를 인지했다. 정상 거래로 위장한 변조 공격을 내부의 웹 방화벽(WAF)이나 이상거래탐지시스템(FDS), 상시 모니터링 체계가 조기에 식별해 내지 못했다는 점에서 관리적·기술적 보호조치 결함이 지적된다.

사고 인지 후 새마을금고중앙회는 홈페이지를 통해 대고객 사과문을 게재하고, 해커가 접속한 해당 IP 및 우회 접속 IP를 전면 차단하는 등 긴급 취약점 점검과 보완 조치를 수행했다고 밝혔다. 또한, 피해 고객에게 문자로 개별 통지를 진행 중이며 홈페이지 내 유출 내역 조회 시스템을 활성화했다.

임진우 신용공제대표이사는 사과문을 통해 "금번 유출로 인한 고객 피해 발생 시 전액 보상할 것"이라며, "개인(신용)정보 보호 체계와 관리 절차 전반을 점검하고 보안 시스템을 강화해 유사 사고가 재발하지 않도록 최선을 다하겠다"고 밝혔다.

이번 사태는 금융 서비스의 비대면화가 가속화되는 가운데, 정기적인 소스코드 보안약점 진단과 실효성 있는 침해사고 대응 체계 확보가 얼마나 중요한지 시사한다. 단순한 보안 솔루션 도입을 넘어, 데이터 변조 등 웹을 통한 우회 공격을 즉각 식별하고 차단할 수 있는 고도화된 정보보호 관리체계 정비가 시급히 요구된다.