국내 은행들이 윈도우7 운영체계에 대한 마이크로소프트사(MS)의 기술 지원이 2020년 종료된 이후에도 일부 서버와 자동화기기(CD·ATM)의 윈도우 버전을 업데이트 하지 않은 것으로 확인됐다.

국민은행은 1349대의 자동화기기가 업데이트되지 않았고, 신한은행은 미전환 서버 53대를 운영하고 있는 것으로 드러났다. 국내 1·2위 대형은행들이 취약한 보안시스템으로 인해 해킹 가능성에 노출돼 있는 것이다.

16일 국회 정무위원회 강훈식 의원(더불어민주당·충남 아산시을)이 금융감독원으로부터 제출받은 '은행권 PC·서버·자동화기기 MS 윈도우 상위버전 전환' 자료에 따르면 신한은행은 565대의 서버 중 512대만 MS윈도우 상위버전 업데이트를 마쳤다. 전환율은 90.6%로 10% 가량인 53대는 윈도우7 운영체계를 아직까지 사용하고 있다. 하나은행은 207대 중 2대만 전환을 하지 않았다. MS윈도우로 운영되는 서버를 보유한 국민은행(494대), 우리은행(678대), 농협은행(1453대) 등 다른 5대 은행들은 모두 전환율이 100%였다. 기업은행은 463대 중 12대를 업데이트를 하지 않아 전환율은 97.4%, 한국SC은행은 97.2%(323대 중 314대)였다. 지방은행 중에서는 광주은행 전환율이 84.4%(58대 중 49대)로 가장 낮았다. 제주은행은 3대, 부산은행은 2대를 업데이트 하지 않은 것으로 나타났다.

신한은행은 미전환 사유에 대해 "재구축 진행 중으로 완료 후 폐기 예정"이라며 "내달 말까지 신규 재구축 및 서버 폐기 예정"이라고 밝혔다. 하나은행은 "단순 유지(2026년 12월) 후 폐기 예정"이라고 밝혔다. 기업은행은 "시스템 고도화에 따른 안정화 전 데이터 이전 작업을 진행 중"이라며 "올해 12월까지 조치할 예정"이라고 말했다.

은행 대부분이 의원실 요청에 따른 금감원의 현황 파악 후 조만간 폐기하겠다는 의사를 밝힌 것이다. 한국SC은행은 "업무 중료로 미사용 중"이라며 "올해 12월말까지 폐기할 예정"이라고 말했다. 광주은행은 "내부 직원용으로 대고객 영향이 미비한 업무에서 사용하고 있다"며 "내년에 교체 계획을 수립해 전환 추진 중"이라고 설명했다. 부산은행도 "관련 업무 중단 후 서버 폐기 또는 내년 교체 예정"이라고 밝혔다.

자동화기기(CD·ATM) 미전환 대수는 국민은행이 1349대로 가장 많고, 부산은행 46대, 한국SC은행 10대로 나타났다. 국민은행은 "엄격한 망분리를 운영 중이며, 자동화기기는 내부망 체제 내에서 운영하고 있다"며 "기기업체와 효율적인 업데이트 방안 도출 이후 내년 상반기 내 미전환 대수를 전부 운영체제 상위 버전으로 전환할 예정"이라고 밝혔다. 부산은행은 "신규 기가 도입 지연으로 인한 미전환으로, 순차적으로 기기를 교체 중"이라며 "이달 16일 전환예정 등 공사일정에 따라 순차적으로 전환하고, 연말까지 완료하겠다"고 밝혔다.

한국SC은행은 "2020년 1월부터 HDD제거 및 전원 종료하여 미사용 상태"라며 "순차적으로 폐기를 진행 중"이라고 말했다.

사이버보안업체인 시만텍은 보고서를 통해 오래되고 낡은 장비나 OS(운영체계), 소프트웨어를 사용할 경우 멀웨어(악성코드 또는 악성프로그램)에 장악될 수 있다는 점을 경고했다. ATM을 통해 은행 시스템에도 접근할 수 있다며 주의가 필요하다고 했다. 북한의 해킹그룹이 멀웨어를 통해 아시아와 아프리카 중소 규모 은행들의 ATM을 해킹해 수천만달러를 현금으로 훔친 사례도 있다.

금융권의 한 보안전문가는 "국내 금융기관들이 2019년 윈도우7을 사용하고 있던 PC가 설치된 ATM을 윈도우10으로 업그레이드를 했으며, 이중 PC 사양에 따라 윈도우10 업그레이드가 불가능한 ATM에 대해 PC 업그레이드와 함께 윈도우10을 지원했다"며 "이는 고객 정보 및 현금을 취급하는 ATM의 보안 위험과 바이러스 취약 우려에 대비하는 금융 기관의 당연한 조치"라고 말했다. 그는 "바이러스, 해킹 등의 보안 취약을 노리고 행해지는 사이버 공격 증가가 지속적으로 우려되고 있는 현실에서 고객 정보와 현금을 취급하는 ATM의 윈도우7 업그레이드를 포함해 기술적인 미비점은 없는 지 다시 한번 확인해볼 필요가 있다"고 강조했다.

강훈식 의원은 "소비자 금융거래의 중심인 CD·ATM부터 대형 보안사고로 이어질 수 있는 중앙서버까지, 윈도우 기술지원 종료에 대한 금융권 대비가 제대로 이뤄지지 않은 것 같다"며 "2014년 윈도우 XP기술지원 종료때 금융위, 금감원이 점검하고 대응한 것처럼 금융당국이 나서야 할 때"라고 말했다.

[관련기사]
▶ 국민은행 CD·ATM 보안 취약