금융권 연쇄 침해사고, 공격 경로 변화 분석 - 제3자 경로 노린 해커들

핵심 요약

- 2026년 10월 현재 서울 금융권에서 잇따른 사이버 침입 및 개인정보 유출 사고 발생, 금융당국이 긴급 대응 체제 가동 - 공격자들이 금융회사 핵심 시스템 대신 보안이 취약한 협력사·제3자 경로를 통해 우회 침투하는 전략 변화 확인 - 금융협회장과 침해사고 발생 금융회사 대표들이 참석하는 긴급 점검회의 개최 예정

주요 내용

2026년 10월 서울 금융권에서 연쇄적으로 발생한 사이버 침해사고가 업계에 경종을 울리고 있다. 금융당국은 이번 사태의 심각성을 인지하고 금융협회장 및 피해 금융회사 대표들을 소집해 긴급 점검회의를 개최하는 등 총력 대응에 나섰다.

이번 사고에서 주목할 점은 공격자들의 침투 경로가 과거와 확연히 달라졌다는 것이다. 전통적으로 해커들은 금융회사의 핵심 시스템, 즉 '금고'에 해당하는 계정계 시스템이나 주요 데이터베이스를 직접 공격했다. 그러나 최근 사고 분석 결과, 공격자들은 상대적으로 보안 수준이 낮은 협력사나 제3자 서비스 제공업체를 경유하는 우회 공격 전략을 구사한 것으로 파악됐다.

이는 금융회사들이 자체 시스템에 대한 보안 투자를 강화하면서 정면 돌파가 어려워지자, 공급망(Supply Chain) 내 취약점을 노리는 전술로 선회한 것으로 분석된다. 특히 마케팅 대행사, IT 유지보수 업체, 클라우드 서비스 제공자 등 개인정보에 접근 권한을 가진 제3자들이 주요 침투 경로로 악용되고 있다. 금융회사와 협력사 간 계약 관계에서 발생하는 보안 관리 공백이 사이버 공격의 새로운 관문이 된 셈이다.

금융당국은 이번 긴급회의를 통해 금융회사뿐만 아니라 협력사 및 제3자 제공업체까지 포괄하는 통합 보안 관리 체계 구축 방안을 논의할 것으로 예상된다. 단순히 자체 시스템 보안 강화를 넘어 전체 생태계 차원의 보안 거버넌스 재정비가 필요한 시점이다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 발견되는 취약점 중 하나가 바로 제3자 보안 관리의 미흡함이다. 많은 기업들이 자체 시스템에 대해서는 철저한 보안 통제를 실시하지만, 개인정보를 처리하는 협력사에 대한 관리·감독은 형식적 수준에 그치는 경우가 많다. 계약서상 보안 의무 조항은 존재하지만, 실제 이행 여부를 정기적으로 점검하거나 기술적 보안 수준을 검증하는 사례는 드물다. 이번 금융권 사고는 이러한 관리 공백이 실제 침해사고로 이어질 수 있음을 여실히 보여준다.

기업들은 제3자 보안 관리를 단순한 계약 조항이 아닌 실질적 위험 관리 프로세스로 재정립해야 한다. 협력사 선정 단계에서의 보안성 평가, 개인정보 접근 권한의 최소화, 정기적인 보안 점검 및 교육, 침해사고 발생 시 즉각 통보 체계 구축 등이 실무에 적용되어야 한다. 특히 금융권처럼 민감정보를 다루는 분야에서는 협력사와의 망분리, 접근 로그 실시간 모니터링, 이상 징후 탐지 시스템 연계 등 기술적 통제 수단을 병행해야 한다. 공급망 전체가 하나의 보안 영역이라는 인식 전환이 시급하다.

ISMS-P 심사원 체크포인트

1. 제3자 제공 및 위탁 관리 (ISMS-P 3.3.2, 3.3.3)
- 개인정보를 제공받거나 처리를 위탁받는 제3자에 대한 관리·감독 체계가 수립되어 있는지 확인
- 위탁계약서에 보안 의무사항, 재위탁 제한, 손해배상 책임, 접근 권한 범위 등이 명시되어 있는지 점검
- 수탁자의 보안 수준을 정기적으로 평가하고 있는지, 현장 실사 또는 보안 진단 기록 확인
- 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리 제한), 제27조(영업양도 등에 따른 개인정보의 이전 제한) 준수 여부

2. 접근 권한 관리 및 모니터링 (ISMS-P 2.8.2, 2.8.5)
- 제3자에게 부여된 시스템 및 개인정보 접근 권한이 업무 목적에 따라 최소한으로 제한되어 있는지 검토
- 협력사 계정에 대한 접근 로그가 기록·보관되고 있으며, 이상 접근 행위에 대한 모니터링 체계가 작동하는지 확인
- 협력 종료 시 계정 삭제 및 권한 회수가 즉시 이루어지는지 프로세스 점검

3. 공급망 보안 관리 (ISMS-P 2.13.3)
- 정보시스템 개발·운영·유지보수 과정에서 외부 사업자 참여 시 보안 요구사항 명시 및 이행 확인 체계
- 협력사의 보안 사고 발생 시 즉각 통보 및 공동 대응 절차가 계약 및 실무 프로세스에 반영되어 있는지 확인
- 정보통신망법 제47조의2(정보보호 최고책임자의 지정 등)에 따른 공급망 보안 관리 의무 이행 여부

CPPG·ISMS-P 연계 포인트

공급망 공격(Supply Chain Attack)
제3자 또는 협력사를 경유하여 최종 목표 조직을 침해하는 사이버 공격 기법. 직접 공격이 어려운 보안 수준 높은 조직을 대상으로, 상대적으로 취약한 협력사·공급업체를 먼저 침투한 후 신뢰 관계를 악용해 목표 시스템에 접근한다. ISMS-P에서는 제3자 보안 관리(3.3.2), 공급망 위험 관리(2.13.3)를 통해 대응 체계 구축을 요구한다.

개인정보 처리 위탁 시 안전성 확보 조치(개인정보보호법 제26조)
개인정보처리자가 제3자에게 개인정보 처리 업무를 위탁하는 경우, 위탁받은 자가 개인정보를 안전하게 처리하도록 관리·감독해야 할 법적 의무. 위탁 사실 공개, 계약서 필수 포함사항 명시, 수탁자 교육 및 관리·감독, 재위탁 제한 등이 포함된다. 위탁 관계에서 발생한 개인정보 유출 시 위탁자도 연대 책임을 질 수 있어, 실질적 관리 체계 구축이 필수적이다.