고팍스 운영사 스트리미와 가상자산 거래소 프라뱅이 금융당국이 확인한 금융권 침해사고 명단에 포함됐다. 프라뱅은 별도 공지를 통해 고객 약 20명의 개인·신용정보가 유출됐다고 밝혔다.
금융위원회는 14일 관계기관과 긴급 상황대응 회의를 열고 신한은행 침해사고 전후로 은행·저축은행·전자금융업자·가상자산사업자 등 16개사에서 침해사고가 확인됐다고 발표했다. 가상자산사업자로는 스트리미와 프라뱅을 명시했다.
전체 정보유출 규모는 약 10만 건으로 집계됐다. 이는 16개사 전체 수치로, 두 가상자산사업자의 피해 규모를 뜻하지 않는다. 금융위는 계좌 비밀번호·카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다고 설명했다.
프라뱅이 지난 9일 게시한 ‘개인(신용)정보 유출 안내 및 사과문’에 따르면, 회사는 2일경 외부 비인가자가 일부 서비스에 비정상적인 방법으로 접근해 고객 약 20명의 정보를 유출한 사실을 확인했다.
공개된 유출 항목은 한글·영문 이름, 성별, 국적, 생년월일, 연락처, 주소, 직장명, 직장주소, 직장전화번호, 부서명, 직위명 등 12개다. 이 가운데 연락처·주소·직장명·직장주소·직위명은 암호화된 상태였다고 회사는 밝혔다. 암호화 방식이나 복호화 가능성은 공지에 설명하지 않았다.
프라뱅은 유출 사실을 인지한 뒤 비상대응체계를 가동하고 접속 IP 차단, 비정상 접근 모니터링, 홈페이지 취약점 점검과 보완조치를 했다고 설명했다. 공지 당시 피해 고객에게 개별 통지할 예정이라고 밝혔으며, PC 홈페이지에 로그인하면 유출 여부를 조회할 수 있다고 안내했다.
회사는 유출 정보를 악용한 명의도용·보이스피싱 등의 2차 피해에 주의할 것을 당부했다. 출처가 불분명한 문자·메일의 링크나 개인정보 입력 요구에 응하지 말고, 비밀번호를 변경하도록 권고했다. 이 권고 자체가 비밀번호 유출을 뜻하는 것은 아니다.
스트리미의 경우 15일 확인한 고팍스 공개 공지 목록과 관련 검색에서는 이번 사고의 유출 항목·규모를 설명하는 개별 공지를 확인하지 못했다. 이에 따라 프라뱅이 공개한 피해 내용이나 금융권 전체 집계를 스트리미에 동일하게 적용할 수는 없다.
이번 발표와 프라뱅 공지만으로 가상자산 탈취가 발생했다고 판단할 수는 없다. 개인정보 유출과 이용자 자산 피해는 별도로 확인해야 한다. 금융당국은 각 사고의 침해경로와 공격방식, 동일 공격자 여부 및 AI 해킹 가능성 등을 조사하고 있다.
금융위는 앞서 금융회사 555개사를 대상으로 실시한 체크리스트 점검에서 130개사가 미흡사항을 보고했다고 밝혔다. 주요 문제는 최신 보안패치 미적용, 지원이 종료된 시스템 관리 미흡, 24시간 관제체계 미구축, 인증·접근통제 부족 등이었다.
당국은 보안체계 전수점검과 금융회사 간 위협정보 공유 확대, 취약점 점검 강화 등을 추진할 계획이다. 구체적인 점검 범위와 일정은 금융권과 협의해 확정할 예정이다.
