[기로의상장사]한패스①해킹에 고객정보 유출…보안 투자 약속 무색

소득금액증명 등 개인정보 외부 유출…규모는 조사 중
3월 상장 당시 보안 인프라 강화 약속했지만 사고 발생

해외송금 전문 핀테크 기업 한패스 에서 외부 해킹으로 고객 개인정보가 유출되는 사고가 발생했다. 해외송금과 전자지갑, 선불카드 등 금융 서비스를 제공하는 기업에서 고객의 주요 개인정보가 외부에 노출되면서 보안 관리 체계에 대한 우려가 커지고 있다.

특히 한패스는 코스닥 상장 당시 공모자금 일부를 정보보안 및 서비스 인프라 강화에 투자하겠다고 밝혔지만, 상장 후 1년도 지나지 않아 해킹 사고가 발생하면서 고객 신뢰에도 타격이 불가피할 전망이다.

한패스는 지난 3일 홈페이지에 '개인정보 유출에 대한 안내 및 사과문'을 게시하고 외부 해킹에 따른 고객정보 유출 사실을 공개했다.

회사에 따르면 해킹 공격은 지난 1일 오전 4시38분쯤 시작됐다. 공격자는 API를 통해 외부에서 비인가 접근을 시도했으며, 이 과정에서 일부 고객의 개인정보가 외부로 유출된 정황이 확인됐다. 회사가 비정상적인 접근 가능성을 확인하고 정보보호책임자에게 최초 보고한 시점은 같은 날 오전 10시다.

한패스는 보안관제 업체의 보고에 따라 공격 시작 시점부터 공격자 차단과 로그 분석을 진행했다고 설명했다. 다만 공격이 시작된 시점과 최초 보고 사이에는 5시간 이상 차이가 발생했다.

유출된 정보는 소득금액증명과 외국인등록사실증명 등 증명서 발급 원본이다. 한패스모바일 가입자의 경우 성명, 국적, 전화번호, 납부정보(선불·후불), 주소 등이 외부에 노출된 것으로 파악됐다. 회사는 이외 개인정보는 유출되지 않았다고 밝혔다.

다만 개인정보 열람의 정확한 시점과 횟수, 공격자가 해당 정보를 화면으로 캡처하거나 별도 저장했는지 등은 아직 확인되지 않았다. 한패스는 금융감독원 등 관계 기관과 경위를 조사하고 있어 구체적인 내용을 밝히기 어렵다는 입장이다. 현재까지 확인된 유출 범위는 한패스 고객 정보이며, 한패스파이낸셜 등 다른 관계사 고객정보의 유출은 확인되지 않았다고 설명했다. 유출 규모 역시 조사 중이다.

한패스 관계자는 "사고 인지 직후 비인가 접근을 차단하고 방화벽과 시스템 보안 점검을 강화했다"며 "API 키 인증도 강화하는 등 추가 피해 방지를 위한 긴급 조치를 완료했고 개인정보보호위원회와 한국인터넷진흥원(KISA), 금융감독원 등 관계 기관에도 신고를 접수했다"고 밝혔다.

한패스는 2017년 설립된 핀테크 기업으로, 같은 해 금융위원회로부터 환전업 및 소액 해외송금업 라이선스를 취득했다. 2018년 모바일 해외송금 서비스를 출시한 이후 웨스턴유니온과 제휴해 200개국 해외송금 서비스를 제공하는 등 사업 영역을 확대했다. 이후 전자지급결제대행업(PG)과 선불전자지급수단 발행·관리업 라이선스를 취득하고 모바일월렛과 선불카드 사업에도 진출했다.

최근에는 해외송금뿐 아니라 외국인 전용 구인구직, 모빌리티, 커머스 등으로 사업을 넓히며 외국인 종합 생활금융 플랫폼을 표방하고 있다. 올해 3월에는 코스닥시장에 상장했다.

이번 해킹 사건으로 시장에서는 한패스의 보안 체계에 대한 우려가 나오고 있다. 금융 서비스를 제공하는 기업의 특성상 고객정보 보호와 보안 시스템에 대한 신뢰가 사업의 근간이기 때문이다.

앞서 한패스는 상장 당시 공모자금 일부를 정보보안 및 서비스 인프라 강화에 투입하겠다는 계획을 제시한 바 있다. 하지만 보안 인프라를 개선했음에도 해킹에 의한 개인정보 유출을 막지 못했다는 점에서 더욱 시장의 우려가 커질 전망이다.

한패스 관계자는 "이번 사고로 고객의 실질적인 피해가 발생할 경우 관련 규정과 법령에 따라 구제 및 보상 절차를 진행하겠다"며 "고객정보 보호를 위한 시스템 전반의 보안 체계도 원점에서 재검토하겠다"고 밝혔다.