우리은행 검사결과제재 (2020-07-08)

전자금융거래의 안전성 확보의무 위반 ㈎ 차세대시스템 구축 부적정 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설 및 정보기술부문 등에 관하여 금융위원회가 정하는 기준을 준수하여야 하고, 금융위원회는 「전자금융감독규정」으로 그 기준을 정하여 금융회사로 하여금 인력, 조직 및 예산 부문, 건물, 전산실 등 시설 부문, 단말기, 전산자료, 정보처리 시스템 등 정보기술부문 등에 관하여 안전성을 갖추도록 의무를 부과하고 있으며, 위 전자금융감독규정에 따라 금융회사는 전자금융업무와 관련된 정보처리 시스템을 구축․운영하는 사업자인 전자금융보조업자와 제휴, 위탁 또는 외부주문 (외부주문 등)에 관한 계약을 체결할 때에는 계약내용의 적정성을 검토하고 자체적으로 통제가 가능하도록 회사 내부의 조직과 인력을 갖추어야 하고, 전자금융업무와 관련한 프로그램을 운영시스템에 적용하는 경우에는 처리 하는 정보의 기밀성․무결성․가용성 등을 고려하여 충분한 테스트 후 실시하는 등 프로그램 등록․변경․폐기 절차를 수립․운영하여야 하는데도 우리은행은 차세대시스템 구축 사업을 추진하면서 다음 1)․2)와 같이 사업 관리를 위한 충분한 인력ㆍ조직을 갖추지 아니하고, 처리정보의 무결성 등을 고려한 충분한 테스트를 실시하지 않는 등 그 의무를 위반하여, 차세대시스템 가동 이후 대외계 업무 중단(총 ♧♧시간 ♧♧분) 및 프로그램 오류 등으로 인한 약 ♠♠억원의 금전사고 등을 초래함으로써, 전자금융거래의 안전성과 신뢰성을 훼손한 사실이 있음 1) 우리은행은 ⊗⊗⊗⊗년 전산시스템 개발·운영 업무를 전산자회사에 일괄 위탁하여 주로 계약관리 위주의 업무를 수행함으로 인해, 은행 IT인력의 대규모 IT사업 관리경험이 부재하고, IT실무 업무에 대한 전문성이 결여된 상황에서 차세대시스템 구축 사업을 추진함에 따라 외부주문 등 관련 사항을 자체적으로 통제하지 못하는 등 사업관리를 위한 충분한 인력ㆍ조직을 갖추어야 할 의무를 위반하여 사업관리 부실을 야기 2) 차세대시스템의 운영시스템 적용에 있어서도 장애발생 가능성이 높은 테스트 유형을 누락하는 등 처리하는 정보의 기밀성・무결성・가용성을 고려한 충분한 테스트를 실시하여야 할 의무를 위반하여 테스트 단계에서 발견된 결함이 차세대시스템 가동 이후 동일하게 재발하는 등의 결과를 초래하였음 < 관련규정 > - 전자금융거래법 제21조 제2항 - 전자금융감독규정 제7조, 제8조 제1항, 제29조 제6호 ㈏ 공개용 웹서버 해킹방지대책 불철저 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설 및 정보기술부문 등에 관하여 금융위원회가 정하는 기준을 준수하여야 하고, 금융위원회는 「전자금융감독규정」으로 그 기준을 정하여 금융회사로 하여금 공개용 웹서버에 대한 관리대책을 수립․운용토록 의무를 부과하고 있으며, 나아가, 비대면의 자동화된 방식으로 이루어지는 전자금융업무의 특성상 금융회사는 이용자 정보 등의 처리에 있어 고도의 자율성·독립성을 부여받고 있으므로 그 보호 조치를 이행함에 있어서도, 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 하는데도, 우리은행은 다음 1) ～3)과 같이 ◈◈◈◈시스템, ♣♣♣♣♣♣시스템, ◎◎ ◎◎◎◎◎◎시스템 등을 소홀히 운영함으로써, 2018.6.13. ～ 6.28. 총 16일간 불상자의 ◆◆개 IP주소와 총 ♤,♤♤♤,♤♤♤개의 아이디(ID)로 우리은행 인터넷 뱅킹 홈페이지에 총 ◇,◇◇◇,◇◇◇번 대량 부정 로그인이 시도된 사이버공격에서 그 중 로그인이 된 총 ○○,○○○개의 ID로 부정접속을 통해 고객의 인적사항, 거래내역 등에 관한 정보가 유출되었거나 유출이 의심되는 상황을 초래하게 하는 등 공개용 웹서버에 대한 관리대책을 충분히 갖추지 아니하였을 뿐만 아니라, 선량한 관리자로서 주의의무를 다하지 아니하여 전자금융거래의 안전성과 신뢰성을 훼손한 사실이 있음 1) 우선, ◈◈◈◈시스템 측면에서 볼 때, 우리은행은 위와 같은 사이버공격이 이루어진 기간 동안 ◈◈◈◈시스템을 운영하면서 검사기준일 최근 1년간(2017.11월~2018.10월) 은행 자체분석을 통해 사전에 등록된 임계치 변경이 약 ▣.▣%에 불과하는 등 임계치(탐지기준) 조정이 미흡하였고, ◈◈◈◈시스템을 차단모드가 아닌 탐지모드로 운영하는 등에 따라 위와 같은 사이버공격이 즉시 분석되지 않았을 뿐 아니라, 탐지된 부정접속 등 의심 내역에 대한 분석과 추가적인 사이버공격을 방지하기 위한 사후보완 조치가 필요함 에도 불구하고, 이를 위한 분석이나 사후보완 조치가 적시에 반영이 되지 않아 불상의 해커의 사이버공격에 장기간 노출되도록 하였음 2) 다음, ♣♣♣♣♣♣시스템의 측면에서 볼 때도, 우리은행은 위와 같은 사이버공격이 이루어진 기간 동안 ♣♣♣♣♣♣시스템을 운영하면서, ◈◈◈◈시스템을 통해 단시간에 시도되는 사이버공격을 차단함과 더불어, ♣♣♣♣♣♣시스템에 장기 보관된 데이터(통합 로그)를 통해 특정 기간 동안 이루어진 사이버공격 패턴 등을 분석하여 이상 징후를 탐지하거나 그 분석 결과를 보안시스템 설정에 반영하는 등의 예방활동을 소홀히 하였음 3) 나아가, 우리은행은 위와 같은 사이버공격이 이루어진 기간 동안 ◎◎ ◎◎◎◎◎◎시스템을 운영하면서, 특정 IP주소가 특정 웹페이지에 일정한 조건 이상으로 접근하는 경우에 부정접속으로 탐지하게 되는 ◈◈◈◈시스템과는 달리, ◎◎◎◎◎◎◎◎시스템 으로는 IP주소 접속이력 등을 활용하여 해커들이 사용하는 특정 단말기에서 인터넷 뱅킹에 다수의 ID로 로그인하는 이상금융거래까지도 탐지할 수 있을 뿐만 아니라, 위와 같은 사이버공격 당시의 ◎◎◎◎◎◎◎◎시스템 기술 수준 등에 비추어 볼 때 특정 IP주소에서 특정 ID로 여러 번 로그인을 성공・실패하는 등의 정보를 활용하여 위와 같은 대량 부정접속을 충분히 탐지할 수 있었음에도 불구하고, 우리은행은 위 1), 2)와 같이 ◈◈◈◈시스템 및 ♣♣♣♣♣♣시스템을 소홀히 운영한 사실 외에도 위와 같은 사이버공격이 이루어진 기간 동안 대량 부정접속 형태의 사이버공격을 탐지하거나 차단하기 위하여 ◎◎◎◎◎◎◎◎시스템을 가동 하지 아니함으로써 전사적 차원에서 개인신용정보를 보호해야 할 고객과의 신임 관계를 저버린 사실이 있음 < 관련규정 > - 전자금융거래법 제21조 제1항, 제2항 - 전자금융감독규정 제7조, 제17조 제4항