모아저축은행 검사결과제재 (2026-01-26)

신용정보전산시스템의 안전보호의무 위반

｢신용정보법｣ 제19조 제1항, 동법 시행령 제16조에 의하면, 신용정보제공·이용자는 신용정보전산시스템의 안전보호를 위해 ｢신용정보업감독규정｣ 제20조 [별표 3]에 정한 기술적·물리적·관리적 보안대책을 수립·시행하여야 함에 따라 신용정보제공·이용자는 ①취급 중인 개인신용정보가 인터넷 홈페이지 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 하여야 하고 ②신용정보관리·보호인을 통하여 개인 신용정보 처리 실태 등에 대한 정기적인 조사·개선을 실시 하여야 함

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 제1항 ｢신용정보의 이용 및 보호에 관한 법률｣ 제42조의2, 제1항 ｢신용정보의 이용 및 보호에 관한 법률｣ 제52조, 제2항 ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조 ｢신용정보업감독규정｣ 제20조, 별표 3

해킹 등 방지대책 운용 의무 위반

｢전자금융거래법｣ 제21조 제2항, (舊)｢전자금융감독규정｣ 제7조 제3호, 제15조 제2항 제3호, 제4항에 의하면, 금융회사는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 ①정보보호시스템을 설치·운영하는 경우에는 보안정책의 승인·적용 및 등록·변경·삭제에 대한 이력을 기록·보관하고, ②해킹 등으로 인한 피해 발생 시 즉시 대처할 수 있도록 적절한 대책을 마련 하여야 함

홈페이지 등 공개용 웹서버 관리대책 수립·운용 의무 위반

｢전자금융거래법｣ 제21조 제2항, (舊)｢전자금융감독규정｣ 제7조 제3호, 제17조 제4항에 의하면, 금융회사는 공개용 웹서버가 해킹공격에 노출되지 않도록 대응 조치 하여야 함

모아저축은행은 2020.12.7.∼2023.10.30. 기간 중 모아론(대출) 홈페이지 등 공개용 웹서버에 대한 해킹공격을 방지하기 위해 방화벽을 운용하면서 해킹공격이 즉시 차단되지 않고 모니터링(탐지)만 되도록 방화벽을 미흡하게 설정하였음

프로그램 등록 절차 수립·운용 의무 위반

｢전자금융거래법｣ 제21조 제2항, (舊)｢전자금융감독규정｣ 제7조 제3호, 제29조 제3호 및 제7호에 의하면 금융회사는 프로그램을 운영시스템에 등록 시 ①그 정당성에 대해 제3자의 검증을 받아야 하고, ②전산자료 관리자 등 해당 프로그램 담당자 이외의 자가 등록을 수행 하여야 하나, 모아저축은행은 2020.12.8.∼2021.9.5. 기간 중 모아론(대출) 홈페이지 등 신규 서비스*를 위한 정보화사업을 추진하면서, ① 동 프로그램 목록·수량·등록내용의 이상 유무 등 정당성에 대해 제3자 검증을 누락 하였고, ② 해당 개발자가 관련 프로그램을 운영시스템에 직접 등록(2021.1.28.)하도록 하여 외부망에 위치한 공개용 웹서버에 설치되어서는 안 되는 개인신용정보가 저장된 데이터베이스 접근·조회가 가능한 개발용 프로그램까지 운영시스템에 등록되었음

암호키 관리 통제 의무 위반

｢전자금융거래법｣ 제21조 제2항, (舊)｢전자금융감독규정｣ 제7조 제3호, 제31조 제2항에 의하면 금융회사는 암호 및 인증시스템에 적용되는 키(이하, ‘암호키’)에 대하여 주입· 운용·갱신·폐기에 대한 절차 및 방법을 마련하여 안전하게 관리 하여야 함

모아저축은행은 타 금융회사와의 전문 송·수신 등에 사용하는 암호키 주입·운용· 갱신·폐기에 대한 절차 및 방법을 마련하지 하지 않고 미흡하게 관리하여 2023. 9.10.~2023.9.11. 기간 중 해커에 의해 암호키가 유출되었음

비밀번호 관리 의무 위반

｢전자금융거래법｣ 제21조 제2항, (舊)｢전자금융감독규정｣ 제7조 제3호, 제32조 제2호 나목에 의하면 금융회사는 내부사용자 비밀번호는 유출을 방지하기 위하여 보관 시 암호화 하여야 함

모아저축은행은 비밀번호(9개)를 암호화하지 않고 관련 파일·프로그램에 평문으로 보관·사용하도록 미흡하게 관리하여 2023.9.10.~2023.9.11. 기간 중 해커에 의해 비밀번호가 유출되었음.

｢전자금융거래법｣ 제21조, 제2항 ｢전자금융거래법｣ 제51조, 제1항 ｢전자금융감독규정｣ 제7조, 제3호 ｢전자금융감독규정｣ 제15조, 제2항, 제3호, 제4항 ｢전자금융감독규정｣ 제17조, 제4항 ｢전자금융감독규정｣ 제29조, 제3호, 제7호 ｢전자금융감독규정｣ 제31조, 제2항 ｢전자금융감독규정｣ 제32조, 제2호