[국내보안뉴스] 예가람저축은행 5만 건 유출 사고… 계열사 전산 위탁 보안 관리 실태 도마 위
· 2026-10-19 11:00
· 조회 13
· 원문 ↗
국회 정무위원회 국정감사에서 예가람저축은행의 대규모 개인정보 유출 사고와 후속 조치 미흡 문제가 도마 위에 올랐습니다. 박상혁 더불어민주당 의원은 예가람저축은행에서 약 5만 24건에 달하는 개인정보가 유출되었음을 지적하며, 사고 발생 이후 유출 항목 수정과 이용자 대상 안내 등 초기 대응 프로세스가 지연된 점을 강력히 비판했습니다.
이번 사건은 5만 명 이상의 금융 소비자가 영향권에 들었을 뿐만 아니라, 금융권 내부의 구조적인 보안 취약점을 드러냈다는 점에서 파장이 큽니다. 특히 태광그룹 계열사 간 전산업무 위탁 과정에서 보안 관리 감독체계가 제대로 작동하지 않았음이 지적되었으며, 유출된 정보의 정확한 범위 파악과 신속한 안내가 이루어지지 않아 2차 피해 위험과 금융 소비자의 불신을 키웠습니다.
향후 금융당국은 금융회사의 계열사 전산 위탁 보안 관리 실태에 대해 엄격한 점검에 나설 것으로 보입니다. 금융기관들은 업무를 외부에 위탁하더라도 자체적인 보안 통제력을 유지해야 하며, 개인정보 유출 사고 발생 시 즉각적으로 범위를 확정하고 고객에게 투명하게 알릴 수 있도록 사고 대응 훈련과 통지 체계를 전면 재정비해야 합니다.
♥ 추천 0
외주 및 위탁 환경일수록 제로 트러스트 기반의 엄격한 권한 분리와 DB 컬럼 단위 암호화가 아키텍처 단계부터 강제되어야 합니다. 사고 발생 후 유출 범위 파악이 지연된 것은 상세한 감사 로그(Audit Log)의 부재와 인시던트 대응(IR) 프로세스의 자동화 실패를 의미합니다. 단순한 위탁 관리 감독을 넘어, 사고 발생 시 영향도를 즉시 산출하고 통지할 수 있는 데이터 관제 파이프라인 재설계가 시급해 보입니다.
계열사 간 전산 위탁 구조는 상대적으로 보안이 취약한 지점을 거점 삼아 내부망으로 침투하는 전형적인 '공급망 공격(Supply Chain Attack)'의 표적이 되기 쉽습니다. 사고 후 유출 범위를 신속히 파악하지 못했다는 점은 C2 통신이나 데이터 유출(Exfiltration)을 감지할 내부 모니터링 체계가 부재했음을 시사합니다. 탈취된 5만여 건의 개인정보는 향후 해당 금융사 고객을 노린 고도화된 스피어 피싱이나 계정 정합성 공격(Credential Stuffing)의 정밀한 무기로 악용될 위험이 큽니다.
계열사 대상의 전산 위탁이라 하더라도 보안에 대한 최종 책임은 본사에 있음을 명심하고 제3자 리스크 관리(TPRM) 체계를 철저히 재점검해야 합니다. 특히 사고 발생 시 정확한 피해 범위 파악과 신속한 고객 통지는 기업의 신뢰도 및 규제 준수(Compliance)와 직결되는 핵심 침해대응 절차입니다. 강화되는 당국의 감독 기조에 발맞추어 전산 위탁사에 대한 실시간 보안 실사 및 위기 대응 프로세스를 즉시 강화하겠습니다.