• 목록

연합뉴스
미래에셋자산운용이 수십조원의 정부 기금을 다루는 홈페이지를 해킹당해 파장이 커지는 가운데, 사측이 해킹 사고 불과 2주 전에 금융당국에 이상이 없다고 보고한 것으로 확인됐다. 회사는 사고 후에야 보안 취약점을 인정하고, 실시간 탐지 체계가 미흡했음을 시인했다.

미래에셋운용에 이어 미래에셋생명과 미래에셋증권까지 그룹 계열사들이 잇따라 뚫리면서, 대형 증권사·보험사도 은행권처럼 최고경영자(CEO) 책임까지 묻겠다고 경고한 금융당국의 제재 수위에 관심이 쏠린다.

11일 국민의힘 신동욱 의원실이 금감원으로부터 확보한 자료에 따르면, 미래에셋운용은 지난달 8일 금감원에 낸 보안 자체점검 결과에서 12개 항목을 모두 '적정'으로 평가했다. 금감원이 은행권 해킹 이후 지난달 2일 금융회사들에 외부 접속 경로와 인증 체계 등을 점검하도록 한 데 따른 것이다.

그러나 당국 보고 2주 뒤인 지난달 22일 오후, 해외 IP를 통해 미래에셋운용이 운영하는 '연기금투자풀' 홈페이지에 대한 해킹 시도가 시작됐다.

연기금투자풀은 정부 기금과 공공기관이 당장 쓰지 않는 여윳돈을 한데 모아 전문 자산운용사에 맡겨 굴리는 제도다. 주무부처는 기획예산처이며, 미래에셋자산운용이 삼성자산운용과 함께 주간운용사를 맡고 있다. 월간성과평가보고서에 따르면 올해 8월말 기준 수탁고(설정액)는 88조8860억원으로, 이 가운데 미래에셋운용이 맡은 돈은 38조1298억원으로 전체의 약 43%에 이른다.

이처럼 수십조 원을 다루는 정부 기금 운용 홈페이지인데도 해커는 보안상 허점을 이용해 손쉽게 접근했다. 해커는 외부에 노출된 웹서버 상태 페이지에서 내부 URL과 파라미터를 수집한 뒤 기본 주소로 직접 접근해 보호 통제를 우회했다.

회원번호를 차례로 조회해 회원 개인정보와 비밀번호 해시를 모았고, 24일 0시43분부터 11분 동안 실제 회원 계정 307개에 로그인했다. 첨부파일 번호를 순차 대입하는 방식으로 약 960MB의 파일도 내려받았다.

이 사고로 연기금투자풀에 돈을 맡긴 정부와 공공기관 담당자들의 접속 정보가 해커 손에 넘어갔다. 이용자 총 331명의 아이디와 이름, 이메일, 암호화된 비밀번호가 고스란히 빠져나간 것이다. 뿐만 아니라 연기금의 2025년 일별 수익률 조회기록도 외부로 빠져나갔다. 대부분 담당자들만 열람할 수 있는 비공개 자료다.

미래에셋운용은 연기금투자풀 홈페이지 보안이 미흡하다는 점을 시인했다. 사측은 신고서에서 "회원정보 조회 시 호출자 권한 검증이 미흡하였고, 비밀번호 해시값만으로 로그인이 가능한 인증 구조였다", "첨부파일 번호가 순차적이고 다운로드 시 권한 검증·요청 횟수 제한이 없었다"고 적어 보안상 허점을 인정했다.

탐지 체계가 미흡해 공격을 늦게 알아챈 점도 스스로 인정했다. 회사가 공격 정황을 인지한 건 26일 낮 12시로, 첫 공격 이후 나흘 만이었다. 이에 사측은 "대량·순차 요청에 대한 실시간 탐지·차단 체계가 미흡했다"고 적었다.

금감원 자체점검표는 외부에 노출된 불필요한 서비스와 관리자 페이지 제거, 인증·인가 검증, 실시간 보안관제와 이상행위 탐지 등을 묻는다. 불과 2주 전 '적정'으로 답했던 점검 항목들의 허점을 해킹을 당한 뒤에야 스스로 '미흡'으로 바꾼 셈이다.