롯데카드 사건에 보안 수준 ↑…24시간 상시 대응 체계 유지
보안 인력·예산 확대에도 긴장감 유지…"연제든 타깃될 수 있다"ⓒ 뉴스1 김지영 디자이너

(서울=뉴스1) 윤수희 기자 = 은행·보험·증권·가상자산 등 금융권 전반에서 한 달 가까이 해킹 피해가 이어지는 가운데 카드업계에서는 아직 피해가 확인되지 않았다. 카드업계는 과거 대규모 정보 유출과 지난해 롯데카드 해킹 사건을 겪으며 보안을 강화한 점을 배경으로 꼽는다. 24시간 결제를 처리하는 업종 특성에 맞춰 운영해 온 상시 감시·대응 체계도 방어에 도움이 됐다는 설명이다.

다만 현재까지 피해가 확인되지 않았다는 사실만으로 보안 수준을 단정하기는 어렵다. 카드업계 역시 공격 징후가 이어지고 있다며 비상 대응 체제를 유지하고 있다.28일 금융권에 따르면 카드사 보안 조직은 최근 잇따른 금융권 해킹 사고에 대응해 보안 점검과 모니터링을 강화하고 있다. 비정상적인 URL·파라미터 요청과 취약점을 탐색하는 스캔 시도 등을 감시하고, 침해 관련 정보를 확보하면 즉시 차단하는 방식이다. 서버와 보안 취약점에 대한 추가 점검도 병행하고 있다.

한 업계 관계자는 "단말·서버의 보안 솔루션과 침입 차단·방지 시스템을 강화했다"며 "악성코드 점검 진행, 보안 취약점에 대한 서버 재점검 등의 절차를 진행했다"고 설명했다.

카드업계가 보안에 민감하게 반응하는 배경에는 과거 대형 사고의 경험이 있다. 대표적인 사례가 2014년 초 드러난 KB국민·롯데·NH농협카드의 고객정보 유출 사태다. 카드사 시스템 개발 업무를 맡은 신용정보업체 코리아크레딧뷰로(KCB) 직원이 고객정보를 이동식 저장장치(USB)에 복사해 빼돌리면서 중복을 포함해 약 1억 400만 건의 정보가 유출됐다.

외부 해킹이 아니라 협력업체 직원에 의한 정보 유출로, 접근 권한과 정보 반출을 통제하는 내부 보안의 허점이 드러난 사건이었다. 금융당국은 고객정보 보호와 내부통제 의무 위반을 확인하고 3개사에 각각 3개월간 일부 업무정지 처분을 내렸다. 신규 회원 모집과 카드 발급 등이 제한되면서 보안 사고는 영업 차질로 이어졌다.

앞서 2011년에는 농협 전산망이 해킹으로 마비되면서 카드 업무에도 장애가 발생했다. 가맹점 대금 입금과 카드 발급·재발급 등 일부 업무의 복구가 지연됐다. 같은 해 삼성카드와 하나SK카드에서도 내부 직원에 의한 고객정보 유출 사건이 발생했다. 외부 침입에 따른 서비스 중단부터 내부자를 통한 정보 유출까지 겪은 셈이다.

카드업계는 특히 지난해 롯데카드 해킹 사건 이후 금융당국 주도로 방화벽과 침입 방지 시스템, 서버 정책 등을 전반적으로 점검한 것이 보안 역량을 높이는 계기가 됐다고 설명한다. 과거 사고의 경험에 최근 사고까지 더해지면서 업계 전반의 경계심이 높아졌다는 것이다.

또 다른 업계 관계자는 "카드사도 해킹 공격에 취약한 고리가 있을 수 있고 여전히 여러 공격 징후가 보인다"면서도 "지난해 롯데카드 사건 이후 보안 프로그램을 교체·업그레이드하고 보안 인력·예산을 대폭 늘리면서 선제적인 대응이 가능했다"고 말했다.카드업계는 주야간과 휴일에도 결제가 이뤄지는 사업 특성도 보안 대응에 도움이 됐다고 보고 있다. 서비스가 상시 운영되는 만큼 이상 징후를 감시하고 대응하는 체계를 유지해 왔다는 설명이다.

정보보호 인력 비중도 은행·증권업권보다 높다. 김용만 더불어민주당 의원실이 금융감독원에서 받은 자료에 따르면 전업 카드사 8곳의 IT 인력 대비 정보보호 인력 평균 비중은 지난해 말 11.7%에서 올해 6월 말 12.6%로 높아졌다. 올해 6월 말 기준 은행권은 8.55%, 증권사는 9.78%다.

카드사 8곳의 정보보호 인력은 같은 기간 312명에서 339명으로 늘었다. 신한카드는 39명에서 51명으로, 롯데카드는 39명에서 47명으로 증가했다. 현대카드는 68명에서 74명으로, KB국민카드는 32명에서 37명으로 늘었다. 삼성카드와 하나카드는 각각 2명, 1명 늘어난 51명, 18명이다.

정보보호 예산 집행 규모도 확대됐다. 8개사의 집행액은 2022년 971억 5000만 원, 2023년 994억 9000만 원, 2024년 997억 5000만 원으로 1000억 원 안팎을 유지하다 지난해 1205억 3000만 원으로 늘었다. 올해는 8월 말까지 908억 5000만 원을 집행해 지난해 연간 집행액의 75.4% 수준에 이르렀다.다만 인력·예산 확충과 상시 대응 체계가 이번 연쇄 해킹의 피해를 막은 결정적 요인인지는 확인하기 어렵다. 업권마다 공격의 집중도와 방식이 다를 수 있는 데다 현재까지 드러난 피해만으로 방어 체계의 실효성을 평가하기에는 한계가 있어서다.

과거 대형 사고를 겪고도 지난해 롯데카드에서 다시 해킹 피해가 발생했다는 점 역시 경계를 늦출 수 없는 이유다. 보안 강화가 일회성 점검에 그쳐서는 안 되며, 내부자의 정보 접근과 반출 통제부터 외부 공격 탐지까지 지속적으로 관리해야 한다는 과제를 남겼다.

카드업계도 현재 상황을 안심할 근거로 삼기는 어렵다는 입장이다. AI를 활용하는 등 공격 방식이 빠르게 발전하는 만큼 기존 방어 체계의 취약점을 계속 점검해야 한다는 것이다.

금융권 관계자는 "해커들이 과시를 위해 반향이 큰 업권을 먼저 겨냥하면서 카드업권에 대한 관심이 상대적으로 적었을 수 있다"며 "한순간의 실수로 해킹의 빌미를 제공할 수 있다. 방패가 창보다 약하면 언제든 뚫릴 수 있다"고 강조했다.