GA(General Agency) 보험 업계 사이버 보안 취약점 및 강화 방안

• GA(General Agency) OA(Office Automation) 실 및 현장 PC (개인용 컴퓨터) 보안 취약성
  • 보험사 지급 PC의 방치 및 관리 부재
    • GA 사무실에 배치된 각 보험사 지급 전산 PC는 거의 방치 수준으로 관리됨
    • 특정 회사에 한정되지 않고 다양한 보험사의 설계 시스템이 동시에 설치되어 사용됨
    • 설계사들은 이 장비로 설계, 청약, 계약 조회는 물론 개인적인 엑셀 작업이나 고객 DB 정리까지 수행함
    • 보험사는 장비 제공 후 위치나 이용 현황에 대한 지속적인 관리 및 점검 체계가 부재함
    • 사무실 이전, 인사 이동, 점포 폐쇄 등으로 PC가 유실되거나 타사로 이동, 심지어 퇴사자가 그대로 반출하는 사례도 보고됨
    • 공용 장비에 고객 정보, 청약 이력, 내부 엑셀 파일, 이미지 파일 등 민감한 정보가 담겨 있음에도 정기적인 보안 점검이나 감사가 이루어지지 않음
    • 과거 업무 중 생성된 파일이 바탕화면에 남아 있어도 누구도 책임지거나 통제하지 않음
  • 해커의 무방비 유출 경로 악용 가능성
    • 공용 장비를 통한 해커 접속 또는 FP(Financial Planner) 계정 접근 시도 가능성 존재
    • 보험사 전산 시스템에 대한 직접적인 접근은 어렵더라도, 이러한 장비는 해커 입장에서 무방비 상태의 유출 경로가 됨
    • 보험사가 주로 걱정하는 GA ERP 연동 데이터 전달 구간 보안보다, 실제 위험은 데이터가 저장되는 공간과 환경 자체에 있음
• GA ERP 시스템 보안 허점
  • 고객 정보 유출 소문 및 실제 접근 수준
    • 최근 GA 업계에서 '고객 정보 유출 가능성' 소문이 퍼졌으나, 실제 데이터 유출 확인이 아닌 가능성 언급에 불과함
    • 해커가 시스템 개발사 직원의 PC를 해킹하여 GA ERP 로그인 정보를 확보하고, 일부 GA ERP에 로그인 성공 사례가 있었음
    • 전문가들은 ERP 로그인만으로 데이터베이스 서버에 있는 GA 고객 정보를 탈취하는 것은 기술적으로 어렵다고 판단
    • 접근은 주로 '화면 접근 수준'에 불과하며, 일반 사용자 계정을 통해 GA 서버 내부의 데이터나 전체 고객 정보를 가져가는 것은 사실상 불가능에 가까움
    • 화면에 표시되는 정보는 대부분 보안 처리되어 있고, 일부 항목은 마스킹된 상태로 나타나 활용 가치가 낮음
    • 금융 보안 당국 기준에서는 데이터를 외부로 빼내거나 저장하지 않더라도, 화면을 본 사실 자체만으로도 정보 유출로 간주될 수 있음
  • ID/PW 노출의 일상화 및 2차 인증 부재
    • 2차 인증 체계(OTP, SMS 등)의 부재가 보안 취약점을 키운 중요한 요인으로 지적됨
    • 다수의 GA 설계사들은 보험사 시스템 접근 ID/PW를 책상에 붙여 놓거나 동료에게 오픈하는 현실
    • 심지어 타 GA 정보를 보기 위해 지인에게 본인 소속 GA의 ID/PW를 노출하는 경우도 있음
    • 시스템 접근 ID/PW 노출 가능성이 일상화된 현실
  • 보안 투자 미흡의 근본 원인
    • 보안 시스템 도입이 기술적으로 어려워서가 아니라, 비용과 사용자 편의성 문제 때문에 도입되지 않고 있음
    • 2차 인증(예: SMS) 적용 시 수백만 원의 추가 비용 발생 가능
    • OTP(One Time Password)나 보안 토큰(Security Token) 사용 시 사용자 불편함과 업무 단절 가능성
    • '해킹이 실제 발생할 확률이 높지 않다'는 안일한 인식이 복합적으로 작용함
    • 중소형 GA의 상당수는 전문성이 떨어지는 ERP 개발사와 계약하거나 소규모 업체와 협업하여 보안이 더욱 취약한 상태
    • 이번 사건은 해커의 고도화된 목적성보다는 단순한 테스트나 호기심에 가까운 접근일 수 있으나, 업계 전반에 큰 경고음을 울림
• 개인정보 및 신용정보 관리 법규 위반 심각성
  • 개인정보 보관 및 파기 기준 미준수
    • 보험 설계 현장에서 고객 정보(이름, 생년월일, 연락처 등)를 수첩에 적어두는 관행이 현행 개인정보보호법 상 명백한 위법 소지가 있음
    • 모든 개인정보 수집 행위에는 명시적 동의가 필요함
    • 청약 성립 전 수집된 정보는 계약 불발 시 6개월 이내에 반드시 폐기해야 하나, 설계사들이 장기간 보관하는 경우가 많음
    • 퇴사자들이 개인 노트나 파일을 정리하지 않거나, 관리 기준이 없는 지점에서 정보가 방치 또는 재활용됨
    • 개인정보 유출 사고 발생 시 설계사뿐 아니라 보험사 또는 GA 본사까지 법적 책임이 확장될 수 있음
    • 설계용 전산 시스템에 입력된 고객 정보가 청약 불성립 시 자동 삭제되어야 하지만, 설계사 개인 PC나 문서 파일에 남아 있는 사례가 많음
    • 보험사 차원에서도 정기적인 점검이나 일괄 삭제 조치가 제대로 이루어지지 않아 잠재적인 유출 리스크로 작용함
    • GA ERP 시스템 내 고객 정보는 5년간 보관 가능하나, 이후 지속 활용 시 재동의 절차가 필수임에도 현장에서 재동의 관리 체계가 미비하거나 미이행되는 경우가 많음
    • 대형 GA의 방대한 고객 정보 관리에 물리적 보안, 시스템 보완, 인적 통제가 수반되어야 함
    • 설계사들은 상담 중 메모하거나 간단한 설계용으로 받은 정보를 '개인적인 기록'이라며 위반으로 보지 않는 경향이 있으나, 법적으로는 명백한 개인정보 위반 행위임
    • 개인정보보호법 위반 시 건당 최대 3천만 원의 과태료 또는 형사처벌 가능
  • 신용정보법 위반 및 카드납 시스템 문제
    • 영업 현장에서 개인정보보다 더욱 치명적인 보안 위협으로 신용정보가 떠오름
    • 자동차 보험 카드납 시스템이 보편화되면서 신용정보 노출 위험이 현실화됨
    • 보험사가 수수료 부담으로 고객이 매달 직접 결제 신청을 해야 하지만, 실제로는 FP나 지점 총무가 고객 대신 카드납을 처리하는 관행
    • 고객이 FP에게 카드 정보를 넘기고, 설계사가 이를 보관하거나 지점 총무를 통해 대리 결제를 수행하는 것은 제3자가 신용정보를 반복 사용하는 구조로 현행법 위반 소지가 짙음
    • 설계사 이직이나 퇴사 시 계약이 이관되지 않으면 카드납 처리 공백이 생기고, 기존 고객 정보가 다른 설계사나 총무에게 넘겨져 처리되는 등 보안에 매우 취약한 구조임
    • 신용정보법 위반이 개인정보보호법보다 훨씬 강력한 처벌 조항을 담고 있음에도 현장에서는 그 위중함에 대한 인식이 낮음
    • 신용정보법에 따라 신용정보를 부정하게 수집하거나 이용한 경우 5년 이하 징역 또는 5천만 원 이하 벌금, 부정한 방법으로 수집하거나 제공한 경우 3년 이하 징역 또는 3천만 원 이하 벌금이 부과될 수 있음
• 금융당국의 감독 강화 및 시사점
  • 이번 사고를 계기로 금융당국은 물리적 보안 시스템 구축과 해킹 방지 대책뿐 아니라, 개인정보보호법과 신용정보법 상의 보관, 이용, 파기 기준에 대한 전반적 감독을 강화할 것으로 보임
  • 금융감독원은 GA 전체에 대해 법률 위반 여부와 관리 체계에 대한 포괄적인 실태 점검 및 감사에 나설 관측이 제기됨
  • '보유기간 초과', '재동의 없는 DB 활용', '파기 의무 미이행' 등 구체적 위반 행위에 대한 기준 적용 가능성이 높음
  • 보험 영업이 광범위한 접점에서 이루어지는 만큼, 보험사 본사뿐 아니라 지대리점 및 전속 설계사 등 전체 영업조직 내 개인정보, 신용정보 관리 실태도 GA와 유사한 수준일 가능성이 높아, 동일 기준으로 관리, 감독될 수 있음
  • 보험업계는 그간 명확한 기준 없이 관행적으로 보관해왔던 점을 주장하며, 갑작스러운 단속보다는 유예기간과 계도 중심의 조치가 선행되어야 한다고 요청함
  • 당국의 칼날은 이제 기술적 보안을 넘어 GA의 모든 정보 관리 체계 전반에 향하고 있으며, 정보 수집에서 활용, 폐기까지 전 주기에 걸쳐 '준법 관리 체계'가 요구되는 시대가 시작됨
• 보안 권고
  • 보안 인식 개선 및 리더십 강화
    • 보안은 비용이 아닌 핵심 투자로 인식해야 하며, 신뢰와 지속 가능성을 위한 필수 투자임을 인지하고 경영진의 적극적인 투자와 책임 의식 강화가 필수적임
    • GA 본사, ERP 개발사, 개별 설계사 모두 '정보는 자산이자 책임'이라는 인식을 갖고 법령 준수를 기반으로 한 체계적인 정보 활용 방안을 마련해야 함
  • 기술적 보안 강화
    • ID/PW 외 로그인을 어렵게 하는 2차 인증(OTP, SMS 등)의 필수 적용
    • 허용된 IP만의 접근 정책 수립
    • 개인정보 조회 및 다운로드 시 데이터 암호화
    • 해외 의심 IP의 사전 접근 차단
    • 개인 PC에 보관된 개인정보 암호화 및 랜섬웨어 사전 탐지/차단 프로그램 적용
    • 서버 보안을 위한 방화벽, 접근 제어 솔루션, DB 암호화 솔루션 등 보안에 대한 선제적 투자
  • 관리적 및 제도적 개선
    • 보험사는 전산을 제공한 시점에서 책임을 끝내지 말고, GA 사용자의 장비 사용 실태를 파악하고, 보안 가이드를 제공하며, 실제 점검 체계를 가동해야 함
    • 단순히 데이터 전달 과정의 보안만으로는 개인정보 유출을 막을 수 없으며, GA 조직 및 설계사들에게까지 확장된 보안 문화와 통제가 필요함
    • 계약 미체결 DB의 장기 보유를 금지하고, 개인정보보호법 및 신용정보법에 명시된 보관 기간과 파기 기준을 철저히 준수해야 함
    • 마케팅 목적 활용을 위한 재동의 절차를 의무화하고 관리 체계를 강화해야 함
    • 설계사 개인 PC나 문서 파일에 보관된 고객 정보에 대한 삭제 및 관리 기준을 마련하고, 보험사 차원의 정기적인 점검 및 일괄 삭제 조치를 시행해야 함
    • 고객이 한 번 카드납을 신청하면 매월 자동으로 결제가 이어지도록 보험사들이 제도를 개선하여 FP나 총무의 대리 결제 관행을 근절해야 함
    • 보험사, 설계사, GA 본사 모두 개인정보 보호를 단순한 준수 차원을 넘어 리스크 관리의 핵심 요소로 인식하고 내부 프로세스를 전면 점검해야 함
    • 현실에 맞지 않는 규제는 제도적으로 보완하고 동시에 실효성 있는 내부 통제 체계를 구축할 필요가 있음
  • 종합적인 위험 관리의 확장
    • 이번 사고를 특정 GA의 문제가 아닌 GA 업계 전반의 구조적 허점으로 인식하고, 전산 환경과 문화, 조직 구조 전반의 취약점을 개선하는 데 목적을 두어야 함
    • 개인정보 및 신용정보 노출은 단순한 보안 문제를 넘어 영업 구조의 지속 가능성과 직결되는 문제이므로, 보험사는 카드납 편의성만을 강조할 것이 아니라 그 이면의 리스크를 실질적으로 통제할 수 있는 제도와 시스템 구축에 적극 나서야 함

[GA 보안 리포트]① “누구도 책임지지 않는 보안 사각지대” – 보험사PC 모아논 ' GA OA실' 을 다시 본다

[GA 보안 리포트]② “해커들의 호기심 어린 장난이 울린 경보”...GA ERP 시스템에 경고등이 켜지다

[GA 보안 리포트]③ "금융당국, GA 해킹 대비 물리적 보안 넘어 개인정보·신용정보 준수 여부 관리 고삐 죈다”

[GA 보안 리포트]④ "설계사의 수첩, ERP, 전산 속 고객 정보… 방치된 순간 ‘위법’이 된다"

[GA 보안 리포트]⑤ 자동차 보험 카드납... 영업현장의 신용정보 위반 ‘최대 아킬레스건’