새마을금고, 해킹 사과문 '이벤트 배너'로 공지했다가 수정…유출 조회도 도마

새마을금고가 지난 13일 개인정보 유출에 대한 사과문을 홈페이지에 게시하면서 고객감사 이벤트와 사과문을 하나의 자동 순환 배너에 함께 배치했다. [사진= 새마을금고 홈페이지] 새마을금고중앙회가 고객 개인정보 유출 사고에 대한 사과문을 고객감사 이벤트와 함께 자동 슬라이드 방식으로 노출했다가 단독 공지로 변경한 것으로 확인됐다. 개인정보 유출 내역 조회에서도 이름과 휴대전화번호만 입력하면 별도 인증 없이 조회 결과가 표시되는 것으로 파악됐다. 금융정보 유출 사고 이후 고객 안내와 정보 접근통제 체계의 적정성이 도마 위에 올랐다. 14일 금융권에 따르면 새마을금고중앙회는 전날 공제회원 개인정보 유출에 대한 사과문을 홈페이지에 게시하면서 고객감사 이벤트와 사과문을 하나의 자동 순환 배너에 함께 배치했다. 일정 시간이 지나면 사과문에서 이벤트 안내로 화면이 전환되는 구조였다. 이후 중앙회는 사과문을 단독으로 노출하는 방식으로 변경했다. 현재 사과문 하단에는 '개인(신용)정보 유출 내역 조회' 기능이 마련됐다. 조회 화면에는 이름과 휴대전화번호 입력란이 제공된다. 실제 이름과 휴대전화번호를 입력하면 별도의 본인인증 절차 없이 개인정보 유출 유무를 확인할 수 있다. 이름과 휴대전화번호는 제3자도 쉽게 알 수 있는 정보다. 별도의 본인인증 없이 조회 결과가 나오는 만큼 타인의 이름과 휴대전화번호로도 개인정보 유출 여부를 확인할 수 있는 것 아니냐는 우려가 제기된다. 이에 따라 조회 과정에서 본인확인 절차를 강화하고 비정상적인 반복 조회를 차단하는 등 보안 조치를 점검할 필요성이 나온다. 이번 해킹으로 새마을금고 공제회원 400명대의 개인정보가 유출됐다. 고객별로 유출 항목에는 차이가 있으나 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 연락처, 주소, 이메일, 잔액 등이 포함됐다. 주민등록번호가 암호화된 상태로 유출돼 직접적인 정보 노출 위험은 일부 줄었지만, 연락처와 계좌 관련 정보 등이 함께 유출된 만큼 보이스피싱 등 2차 피해에 대한 우려는 여전하다. 중앙회는 지난 10일 발생한 해킹 공격을 12일 인지하고 13일 금융당국에 신고했다. 해커의 접속 IP와 우회 접속 IP를 차단하고 추가적인 홈페이지 취약점 점검과 보완 조치를 수행했다고 밝혔다. 공격에 동원된 IP 주소는 중국, 태국, 한국 등 3개국 소재로 잠정 확인된 것으로 알려졌다. 새마을금고중앙회는 유출 고객에게 문자로 개별 통지하고 있으며 이번 사고로 피...