상반기 순익 9조 돌파·급여 급등에도 증권업계 보안망 허술
[더팩트｜박지웅 기자] 국내 증권사들이 올해 상반기 역대급 실적을 거두며 호황을 누렸지만 정작 고객정보를 지키는 보안체계에는 잇따라 구멍이 뚫리고 있다. 대신증권과 한양증권에 이어 자기자본 기준 업계 1위인 미래에셋증권마저 해킹 피해를 입으면서 증권업계 전반의 보안 관리 실태가 도마 위에 올랐다. 반년 만에 9조5000억원이 넘는 순이익을 거두고 주요 증권사 직원들의 평균 급여도 26% 넘게 증가한 상황에서 정보보호 투자와 내부통제 강화에는 충분한 자원을 투입했는지 의문이 제기된다.
9일 금융투자업계에 따르면 미래에셋증권은 지난 7일 모바일 웹과 사내 그룹웨어에 대한 외부 공격으로 고객 3800여명의 계좌번호와 임직원 3만5255명의 개인정보가 유출됐다고 밝혔다.
지난 4일 모바일 웹 휴대전화 인증 로그인 서비스에 비정상적인 외부 접근이 발생한 데 이어 이튿날에는 사내 그룹웨어가 공격받았다. 유출된 임직원 정보에는 이름과 사번을 비롯해 일부 이메일주소와 휴대전화번호, 암호화된 비밀번호 등이 포함됐다.
회사 측은 고객 계좌번호 외 다른 고객정보와 임직원의 주민등록번호 등 고유식별정보는 유출되지 않았다고 설명했다. 현재까지 직접적인 금전 피해나 주요 서비스 장애도 확인되지 않았다.
미래에셋증권은 사고를 인지한 직후 관련 접근 경로를 차단하고 비상대응체계를 가동했다. 금융위원회와 금융감독원, 개인정보보호위원회 등 관계기관에 사고 사실을 신고하고 유출 대상자에게 개별 통지도 진행했다.
김미섭·허선호 미래에셋증권 대표이사는 지난 7일 공지를 통해 고객정보 보호 책임을 다하지 못한 점에 대해 사과하고 사고 원인 규명과 재발 방지 대책 마련을 약속했다.
문제는 이 같은 사고가 특정 증권사에 국한되지 않는다는 점이다.
앞서 대신증권에서는 지난달 외부 투자자문사와 투자일임사 애플리케이션을 통한 비대면 계좌 개설 연계 서버에서 비정상적인 접근이 확인됐다. 조사 결과 고객 3만8490명의 개인정보가 유출된 것으로 파악됐다.
한양증권에서도 지난달 29일 외부 그룹웨어 솔루션을 통한 침해로 고객과 임직원 등 개인정보 31건이 유출됐다. 이 가운데 주민등록번호가 유출된 사례도 3건 포함됐다. 미래에셋자산운용 역시 일부 업무용 시스템에서 비정상적인 외부 접근이 확인되면서 임직원 이름과 이메일 등 개인정보가 유출됐다.
최근 사고가 모바일 웹과 그룹웨어, 외부 연계 서버 등 서로 다른 경로에서 발생했다는 점도 우려를 키운다. 증권사들이 모바일트레이딩시스템(MTS) 고도화와 비대면 금융서비스 확대에 속도를 내는 동안 외부 시스템과 연결되는 접점에 대한 보안 관리가 충분했는지 점검할 필요가 있다는 지적이다.
특히 자기자본 기준 업계 1위인 미래에셋증권까지 피해를 입으면서 대형 증권사도 사이버 공격에서 자유롭지 않다는 사실이 드러났다. 개별 회사의 사고 수습을 넘어 업계 전반의 보안체계를 재점검해야 한다는 목소리가 커지고 있다.
◆ 순익·급여 급증에도 보안망 허술
잇따른 해킹 사고는 증권사들이 올해 상반기 역대급 실적을 거두고 임직원 급여도 큰 폭으로 늘렸다는 점에서 더욱 대비된다.
금융감독원이 발표한 '2026년 2분기 증권·선물회사 영업실적(잠정)'에 따르면 국내 61개 증권사의 올해 상반기 누적 당기순이익은 9조5182억원으로 집계됐다. 지난해 연간 순이익 9조6455억원의 98.7%에 달하는 규모로, 반년 만에 지난해 한 해 실적과 맞먹는 이익을 거뒀다.
올해 2분기 당기순이익은 5조1914억원으로 전 분기 대비 20.0%, 지난해 같은 기간보다 82.1% 증가했다. 증시 호황에 따른 거래대금 증가로 수탁수수료 수익이 확대된 데다 자산관리(WM)와 기업금융(IB) 부문도 실적 개선에 힘을 보탰다.
실적 호황은 임직원 급여에도 반영됐다. 금융감독원 전자공시시스템에 따르면 국내 10대 증권사의 올해 상반기 직원 1인당 평균 급여액은 1억2504만원으로, 지난해 상반기 9877만원보다 26.60%(2627만원) 증가했다.
증권사별로는 메리츠증권이 1억6521만원으로 가장 높았으며 한국투자증권(1억6200만원), 미래에셋증권(1억3600만원)이 뒤를 이었다. 특히 최근 해킹 피해가 발생한 미래에셋증권과 대신증권의 직원 평균 급여도 각각 36.00%, 31.15% 증가했다.
반면 정보보호 인력은 전체 IT 인력의 10%에도 미치지 못하는 것으로 나타났다. 올해 상반기 기준 국내 10대 증권사의 정보보호 인력은 총 131명으로 전체 IT 인력 1340명의 9.78%에 그쳤다. 증권사 한 곳당 평균 13명 수준이다.
정보보호 투자 규모도 회사별로 차이를 보였다. 한국인터넷진흥원(KISA)의 정보보호 공시에 따르면 지난해 정보보호 투자액은 한국투자증권이 188억원으로 가장 많았다. 이어 신한투자증권 171억원, NH투자증권 124억원, KB증권 122억원, 하나증권 100억원, 대신증권 56억원 순이었다.
물론 회사별 사업 규모와 IT 시스템 운영 환경이 달라 투자액이나 인력 비중만으로 보안 수준을 단정할 수는 없다. 다만 막대한 수익을 거두고 임직원 보수도 크게 늘린 증권사들이 고객정보 보호를 위한 투자에도 충분한 자원을 배분했는지는 따져봐야 한다는 지적이다.
특히 최근 사고가 핵심 거래시스템이 아닌 모바일 웹과 그룹웨어, 외부 연계 서버 등에서 발생했다는 점에서 정보보호 예산과 인력의 배분뿐 아니라 외부 시스템에 대한 관리·감독이 적절했는지도 점검해야 한다는 목소리가 나온다.
◆ 연쇄 해킹에 CEO 책임론 부상
금융당국도 잇따른 해킹 사고에 대응해 금융권 전반의 보안 실태를 점검하고 경영진의 책임을 강화하기로 했다. 금융위는 지난 5일 금융회사와 가상자산사업자 등 580여곳을 대상으로 외부 접속 경로와 내부통제 운영 실태를 전수점검하겠다고 밝혔다. 개별 금융회사의 사고 수습에 그치지 않고 업권 전반의 취약점을 확인하겠다는 취지다.
금융감독원 역시 CEO의 관리 책임을 직접 거론하며 압박 수위를 높이고 있다. 이찬진 금융감독원장은 지난 3일 임원회의에서 금융권 전반으로 확산하는 사이버 침해사고를 언급하며 보안 관리체계 강화를 주문했다. 특히 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서는 은행권과 동일한 수준으로 경영진의 책임을 따지겠다는 입장을 분명히 했다.
금감원은 사고 발생 회사가 사전에 보안 취약점을 제대로 점검했는지, 문제가 확인된 이후 적절한 보호 조치를 취했는지 등을 집중적으로 살펴볼 방침이다. 외부 시스템과 연결된 접점의 보안 취약점을 확인하고 문제가 해소되기 전까지 외부 접근을 차단하는 등 실질적인 조치가 이뤄졌는지도 점검 대상이다.
금융당국은 제재 수단 강화도 추진하고 있다. 기본적인 보안 통제가 부실하거나 취약점을 방치해 사고가 발생한 경우 매출액의 최대 3%에 해당하는 징벌적 과징금을 부과할 수 있도록 전자금융거래법 개정안의 조속한 국회 통과를 추진 중이다.
금감원은 금융권 외부 접점에 대한 점검을 확대하는 한편 보안 전담조직과 IT 전문인력 확충 등을 통해 감독·검사 역량도 강화할 계획이다.
증권업계 역시 보안을 단순한 전산 관리 문제가 아닌 경영 차원의 핵심 과제로 인식해야 한다는 지적이 나온다. 인공지능(AI)을 활용한 사이버 공격이 고도화하는 상황에서 사고 발생 이후의 수습에 그치지 않고 취약점을 선제적으로 찾아 차단하는 체계를 구축해야 한다는 것이다.
무엇보다 실적 호황에 따른 성과가 임직원 보상으로 이어진 만큼 고객정보 보호를 위한 투자에도 경영진의 관심과 자원이 뒷받침돼야 한다는 목소리가 커지고 있다. 업계 1위 증권사까지 해킹 피해를 입은 상황에서 보안 관리 실패에 대한 책임을 실무 부서에만 돌릴 것이 아니라 예산과 인력 배분을 결정하는 경영진 차원에서 점검해야 한다는 지적이다.
이 원장은 "사고 발생 회사의 자체 점검과 보안 조치가 적정하게 이뤄졌는지 면밀히 살펴보겠다"며 "대형 금융회사의 경우 CEO 등 경영진의 책임까지 엄중하게 물을 것"이라고 강조했다.
- 발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.
- · 카카오톡: '더팩트제보' 검색
- · 이메일: jebo@tf.co.kr
- · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write
- · 네이버 메인 더팩트 구독하고 [특종보자→]
- · 그곳이 알고싶냐? [영상보기→]