미래에셋자산운용이 운영하는 홈페이지가 해킹당한 가운데, 회사가 해킹 사고 발생 2주 전에 금융당국에 보안 점검 결과를 '적정'으로 보고한 사실이 확인됐다. 사고 이후, 미래에셋운용은 보안 취약점을 인정하고 실시간 탐지 체계가 미흡했음을 시인했다.
국민의힘 신동욱 의원실이 금융감독원으로부터 확보한 자료에 따르면, 미래에셋운용은 지난달 8일 금감원에 제출한 보안 자체점검 결과에서 12개 항목을 모두 '적정'으로 평가했다. 이는 금감원이 은행권 해킹 이후 금융회사들에 외부 접속 경로와 인증 체계 점검을 지시한 데 따른 것이다.
그러나 2주 후인 지난달 22일, 미래에셋운용의 '연기금투자풀' 홈페이지에 대한 해킹 시도가 시작됐다. 연기금투자풀은 정부 기금과 공공기관의 여윳돈을 전문 자산운용사에 맡겨 운용하는 제도로, 미래에셋자산운용이 주간운용사를 맡고 있다. 올해 8월 말 기준으로, 미래에셋운용이 맡은 수탁고는 38조1298억원에 달한다.
해커는 외부에 노출된 웹서버 상태 페이지에서 내부 URL과 파라미터를 수집한 뒤, 기본 주소로 직접 접근해 보호 통제를 우회했다. 이 과정에서 회원 개인정보와 비밀번호 해시를 모은 해커는 24일 0시 43분부터 11분 동안 실제 회원 계정 307개에 로그인했다. 또한, 약 960MB의 파일도 다운로드했다.
이 사고로 연기금투자풀에 돈을 맡긴 정부와 공공기관 담당자들의 접속 정보가 해커에게 유출됐다. 총 331명의 아이디와 이름, 이메일, 암호화된 비밀번호가 빠져나갔으며, 비공식 자료인 연기금의 2025년 일별 수익률 조회기록도 외부로 유출됐다.
미래에셋운용은 보안 취약점을 인정하며, 회원정보 조회 시 호출자 권한 검증이 미흡하고 비밀번호 해시값만으로 로그인이 가능한 인증 구조였음을 밝혔다. 또한, 대량 요청에 대한 실시간 탐지 및 차단 체계가 미흡하다고 설명했다.
금융당국은 사고 발생 직후 점검을 제대로 했는지 확인할 방침이다. 이찬진 금감원장은 사고 금융회사가 자체점검을 적정하게 했는지 면밀히 살피고, 대형 금융회사는 경영진 책임을 엄중히 물을 것이라고 지시했다. 금감원은 금융권의 이행이 부족하다고 판단하고, 보안 취약점 방치 시 매출액의 3%까지 징벌적 과징금을 부과할 수 있도록 법 개정을 추진할 예정이다.
미래에셋그룹 전반의 보안 관리 체계에 대한 우려가 커지고 있으며, 최근 에너지인프라자산운용에서도 외부 침투 시도가 확인됐다. 4~5일에는 미래에셋증권이 공격을 받아 고객 3,800여명의 계좌번호와 임직원 3만5,255명의 정보가 유출됐다. 금감원은 미래에셋증권에 대한 현장 점검에 착수해 사고 경위와 피해 규모를 확인하고 있다.
국민의힘 신동욱 의원은 보안 자체점검 보고 후 한 달도 안 돼 국가 기금을 운용하는 홈페이지가 해킹당한 것은 점검이 형식적이었다는 증거라고 지적했다.


사진제공 : 노컷뉴스


@호주코리안닷컴 보도국