한 번의 클릭이 2.5GB 개인정보를 털렸다

직원 한 명이 속아서, 고객 수만 명이 위험해졌다

Figure Technology가 2.5GB의 고객 데이터 유출을 확인했다. 블록체인 기반 대출업체인 이 회사는 직원 한 명이 사회공학 공격에 속아 해커들이 "제한된 수의 파일"을 훔쳤다고 발표했다. 하지만 유출된 데이터에는 고객의 실명, 주소, 생년월일, 전화번호가 포함되어 있었다.

해킹 그룹 ShinyHunters는 Figure가 몸값을 거부하자 다크웹에 데이터를 공개했다. 이들은 단일 로그인(SSO) 제공업체 Okta를 노린 대규모 해킹 캠페인의 일환이라고 밝혔다. 같은 공격으로 하버드대학교와 펜실베니아대학교도 피해를 입었다.

편리함의 대가: SSO가 만든 도미노 효과

이번 사건의 핵심은 단일 로그인(SSO) 시스템이다. 직원들이 여러 서비스에 하나의 계정으로 접근할 수 있게 해주는 편리한 시스템이지만, 한 번 뚫리면 연결된 모든 시스템이 위험해진다. 마치 마스터키를 도둑맞은 것과 같다.

국내 금융업계도 예외가 아니다. 카카오뱅크, 토스, 네이버파이낸셜 등 핀테크 기업들이 급성장하면서 편의성을 위해 다양한 외부 서비스와 연동하고 있다. 하지만 보안은 가장 약한 고리만큼만 강하다는 원칙을 간과하기 쉽다.

금융업계의 딜레마: 혁신 vs 보안

고객 관점에서는 더 빠르고 편리한 서비스를 원한다. 몇 번의 클릭으로 대출을 받고, 계좌를 개설하고, 투자를 시작하길 바란다. 기업 관점에서는 경쟁에서 살아남으려면 사용자 경험을 최우선으로 해야 한다.

하지만 보안 전문가들은 경고한다. "빠른 성장을 위해 보안을 후순위로 미루는 기업들이 많다. 특히 스타트업들은 제품 출시에만 집중하다가 보안 인프라 구축을 놓치곤 한다."

규제당관은 또 다른 고민이다. 혁신을 막지 않으면서도 소비자를 보호해야 한다. 금융위원회는 최근 마이데이터 사업자들에게 보안 강화를 요구했지만, 여전히 사후 대응에 그치고 있다는 지적이 나온다.