고객 약 4만명의 개인정보 유출이 추정되는 예가람저축은행에서 최근 실제 정보보호 투자 규모와 집행 내역을 공개자료만으로는 확인하기 어려운 것으로 나타났다.

회사는 2024년 보안시스템 개선 사업에 이어 올해도 전산시스템 고도화 입찰을 공고했지만, 사고 이전 해당 시스템과 외부 솔루션에 어떤 점검·보완이 이뤄졌는지는 확인되지 않는다. 금융당국은 예가람저축은행을 포함한 저축은행권에 오는 8일까지 긴급 보안점검을 마치도록 요구했다.

5일 예가람저축은행 홈페이지와 경영공시 등을 확인한 결과 IT 공시 게시판의 최신 글은 2023년 6월 16일 게시된 제19기 정보기술부문 인력 및 예산 충족 안내다. 게시된 해는 2023년이지만 공시 대상은 2022회계연도다.

해당 자료는 정보보호예산이 IT부문 예산의 7% 이상이라는 기준을 충족했다고 밝히고 있다. 실제 예산 금액과 비율은 제시하지 않았다.

이후 보안 관련 사업 공고는 다른 게시판에서 확인된다. 회사는 2024년 5월 16일 공지사항에 정보보호시스템 및 네트워크 고도화 사업 입찰 공고를 냈고, 같은 달 28일 재공고했다. 공고에 명시된 사업기간은 착수일부터 6개월이다.

올해 8월 11일에는 예가람시스템 고도화 사업 입찰을 공고하고 24일 재공고했다. 8월 11일 공개한 제안요청서에는 시스템 노후화에 따른 보안·안정성 문제를 사업 도입 배경으로 제시했으며, 사업 완료 전 취약점 진단과 조치를 실시해 결과를 제출하도록 하는 조건도 담았다.

그러나 확인한 입찰 공고 본문과 제안요청서에는 해당 사업의 예산액이나 최근 연간 정보보호예산·집행액이 제시되지 않았다. 입찰 공고만으로 계약 체결과 사업 완료 여부, 취약점 보완이 실제 이뤄졌는지도 확인하기 어렵다.

전체 전산업무비가 늘어난 사실은 회계자료에서 확인된다. 예가람저축은행 반기검토보고서에 따르면 올해 상반기 전산업무비는 26억1520만5000원으로 지난해 같은 기간 20억2186만원보다 29.3% 증가했다.

전산업무비에는 시스템 운영·유지 등 정보보호 이외 비용도 포함될 수 있어 이를 보안투자 증가로 해석할 수는 없다. 공개된 회계자료만으로는 실제 정보보호에 얼마가 배정되고 집행됐는지 분리해 확인하기 어렵다.

기존 IT 점검 기록도 확인된다. 지난해 결산 경영공시에는 11월 10일부터 21일까지 IT 자가진단 상호점검을 실시한 내용이 담겼고, 올해 1월 20일 감사위원회는 2026년 IT 자체감사 계획 수립 안건을 승인했다.

다만 이번에 침해된 시스템과 사고 원인으로 추정되는 외부 솔루션이 기존 점검 대상에 포함됐는지, 취약점이 발견됐다면 어떤 보완 조치를 했는지는 확인한 공개자료에 드러나지 않는다. 감사 계획 승인이나 입찰 당시의 취약점 점검 조건만으로 실제 점검과 보완까지 이뤄졌다고 판단할 수는 없다.

예가람저축은행은 지난 2일 문윤석 대표 명의의 사과문을 통해 지난달 30일 개인정보가 포함된 서버에 해커가 접근한 사실과 일부 정보의 유출 정황을 확인했다고 밝혔다. 회사가 안내한 유출 항목은 성명과 생년월일, 휴대전화번호다. 기존 보도에 따르면 피해 규모는 약 4만명으로 추정되며, 회사 사과문에는 최종 피해 인원수가 제시되지 않았다.

은행 측은 사용 중인 외부 솔루션 프로그램의 원격 취약점을 통한 해킹 가능성을 추정하고 있다. 사고 인지 뒤 관련 서비스를 중단하고 외부 IP 접근을 차단했으며 보안 모니터링을 강화했다고 설명했다.

금융위원회는 지난 4일 금융업권별 협회장과 침해사고가 발생한 금융회사 최고경영자 등을 소집해 긴급 점검회의를 열었다. 외부에 노출된 전산시스템과 인증·접근통제, 위탁업체 등 외부 접점의 보안관리 상태를 재점검하도록 주문했으며, 저축은행을 포함한 증권·보험·전자금융업자 등의 점검 시한은 오는 8일이다.

최근 실제 보안투자액이 확인되지 않은 만큼 투자 부족을 사고 원인으로 단정하기는 어렵다. 이번 긴급점검에서는 보안 개선 사업과 기존 IT 점검이 침해 시스템 및 외부 솔루션의 취약점 관리로 이어졌는지, 발견된 문제에 어떤 조치를 했는지를 확인할 필요가 있다.