		2014 정무위원회 국정감사 국회의원 김상민
	일 시	2014. 10. 16. (목)
	담당자	박희진 비서
	문 의	02-784-2060 / (FAX) 02-788-0130
금융감독원 국정감사 보도자료

금감원 EFARS(전자금융사고 대응시스템),

피싱 막는데 무용지물

▲ 사이버침해 사고 2014년 상반기에 1,167건

▲ 사이버침해 피해액 중 90% 이상이 피싱&파밍

▲ 올해 상반기에만 개인계좌에서 60억 원 이상 불법이체

▲ 사고당일 EFARS에 접수 된 비율 5.6%에 불과

1		현황

1. 금융감독원은 금융권 정보보호 및 사이버안전을 위해 금융위원회의 지시를 받아 다음을 담당하고 있음

ㅇ 금융 ISAC 업무 총괄 및 조정 등 사무국의 역할

ㅇ 전자금융사고 접수‧전파, 침해정보 공유 등 사이버 침해사고에 대응하기 위해 ‘전자금융 대응시스템’(EFARS)을 구축‧운영

2. 최근 3년 간 발생한 주요 사이버침해 사고를 살펴보면 북한 소행 사이버테러 및 DDoS 공격, 개인정보 유출 등의 사고가 지속적으로 발생하여 큰 문제가 되고 있음.

ㅇ 특히 피싱, 파밍 등의 전자금융사고가 끊이지 않고 유형이 다양화되고 있어 사고의 예방과 함께 확산 방지의 필요성이 높아지고 있음.

3. 금감원은 EFARS를 운영하여 주요 사고에 대해서는 사고내용을 전파하고 정보를 공유하고 있음

□ 금융회사*는 전자금융감독규정 제73조에 의거 전자금융과 관련된 중대한 사고가 발생한 경우 지체 없이 금융위원회 및 금융감독원(EFARS)에 보고하여야 함(별도의 계약 없음)

* 전자금융거래법 제2조 제3호의 금융회사로서 전자금융거래 서비스를 제공하는 회사

제73조(정보기술부문 및 전자금융 사고보고) ① 금융회사 및 전자금융업자는 다음 각 호와 관련된 중대한 사고가 발생한 경우에는 지체 없이 금융위원회 및 금융감독원장에게 보고하여야 한다.

1. 정보처리시스템 또는 통신회선 등의 장애로 10분 이상 전산업무가 중단 또는 지연된 경우

2. 전산자료 또는 프로그램의 조작과 관련된 금융사고가 발생한 경우

3. 전자적 침해행위로 인해 정보처리시스템에 사고가 발생하거나 이로 인해 이용자가 금전적 피해를 입었다고 금융회사 또는 전자금융업자에게 통지한 경우

ㅇ 전자금융사고의 특성상 한 번 사고가 발생하면 비슷한 유형의 사고가 빠르게 확산되는 점을 감안했을 때 금감원의 EFARS 시스템이 잘 활용되어 사고 정보와 대응방안에 대한 정보가 신속하게 교류되었을 때 사고의 피해는 현저하게 줄어들 수 있음

ㅇ EFARS 시스템에 대한 감사원의 지적이나 개선 요구에 대해 금감원은 다음과 같은 개선 방향을 제시했지만 아직까지 시스템 운영에 반영된 바 없음

□ (필요성) 전자금융 사고발생시 금융회사와 감독당국, 관계기관 간 신속한 사고보고 및 전파로 효율적인 정보보호 체계 수립

◦ 사고내용 및 조치사항, 조치결과 등 다양한 정보를 축적 및 제공함으로써 사고대응능력 제고 및 효율적 통계 지원

□ (개선방향) 사고보고의 신속한 보고체계 수립, 정보공유 및 통계 분석이 용이해 질 수 있도록 시스템 개선 추진 중(‘14. 12월 완료 예정)

◦ 금융회사와 정보공유 강화를 위하여 공지사항 등록 기능 신설*하고, 금융기관으로부터 전자금융 사고유형을 입력 받아 유형별 사고현황 분석 등에 활용

* 금감원 담당자가 정보공유가 필요한 사항을 등록·수정할 수 있는 화면을 신설하고, 게시글 등록시 금융회사 담당자에게 문자메세지 알림

◦ 금융회사의 사고인지 일시를 제출 받아 지연보고 여부를 판단하여, 상습적으로 지연보고를 하는 금융회사에 대하여 지도 및 현장점검 등 조치 실시

* 사고보고가 누락되지 않도록 금융회사 검사시 사고보고 내역과 금융회사가 관리하고 있는 사고기록을 점검

<출처:금융감독원>

2		문제점 및 지적사항

1. 2013년 들어 사이버침해사고 급증- 올해 상반기에만 1,167건

<연도별 사고 발생 현황>

(단위 : 건)

유형		’09년	’10년	’11년	`12년	’13년	’14년 상반기
보안사고	건수	6	0	8	9	10	3
전자금융사고	건수	19	16	10	82	1,874	1,020
정보기술장애	건수	26	22	34	102	290	144
합계	건수	51	38	52	193	2,174	1,167

※ 2012년 이후 전자금융사고 및 정보기술장애 보고 건수가 증가한 것은 신종 피싱․파밍의 급증 등의 요인 외에도 금감원이 사고보고를 철저히 하도록 금융회사에 대해 지도(’12.8.14)한 사실도 영향을 미쳤을 것으로 판단

□ 「전자금융감독규정」 제73조의 규정에 따라 금융회사 및 전자금융업자는 정보처리시스템 또는 통신회선 등의 장애로 10분 이상 전산업무가 중단 또는 지연된 경우 등 4가지 사항과 관련된 중대한 사고가 발생한 경우에는 지체 없이 금융위원회 위원장 및 금융감독원장에게 보고하도록 되어있음.

ㅇ 따라서 금감원은 사이버침해사고가 발생할 경우 피해확산을 최소화하도록 금융회사 등이 적시에 사이버 침해사고를 신고하는지 감독하고 시스템을 효율적으로 운영할 책임이 있음

ㅇ 금감원은 2009년 EFARS의 운영을 시작한 이래 시스템에 많은 문제점이 노정되는데도 불구하고 적당한 개선사업을 진행하지 않는 등 전자금융사고에 대한 대응 노력을 하지 않았음

ㅇ 과거 EFARS 시스템 구축 이력을 보면 기능개선을 위해 조치를 취한 바 있으나 구체적인 성능의 개선이나 노력은 보이지 않고 실제 시스템 수치상 결과에도 문제점이 고쳐지지 않음

<전자금융사고대응시스템 구축 이력>

(단위 : 천원)

구 분	구축내역	구축기간	구축비용	개발업체
□ 최초구축	전자금융사고 피해 확대 방지를 위하여 전자금융사고관리시스템 최초구축	’08.11~’09.2	28,000	㈜아이티위너
□ 기능개선	전자금융감독규정 시행세칙 개정에 따른 전자금융사고 보고 절차 반영	’12.6~7	-	자체개발
□ 기능개선	신속한 사고내용 수집 및 전파를 위한 위기상황 대응관리 기능 신설 및 문자 메시지 전송 기능 개선	’13.5	-	자체개발
□ 기능개선	전자금융사고 발생 건수 통계 기능 등 업무 효율성 증대를 위한 전자금융사고대응시스템 개선	’14.10~12	31,890	㈜아이티위너

2. 전자금융사고 피해액 중 피싱&파밍 사건이 90% 이상

- 2014년 상반기에만 피해규모 60억 넘어

□ EFARS시스템에 접수 된 사고 내역을 분석한 결과, 2013년 불법이체로 인한 피해 금액은 135억을 넘어섰고 2014년 상반기에만 60억 원이 넘는 등 사회적 문제로 대두되는 피싱&파밍이 전자금융사고의 금전적 피해 대부분을 차지하고 있다는 것을 알 수 있음

ㅇ 불법이체의 대부분은 피싱과 파밍으로 이루어져 있음

피싱 [phishing]: 개인정보(Private data)와 낚시(Fishing)의 합성어로,

① 금융기관을 가장한 이메일 발송 →② 이메일에서 안내하는 인터넷주소 클릭 → ③ 가짜 은행사이트로 접속 유도 → ④ 보안카드번호 전부 입력 요구 → ⑤ 금융정보 탈취 → ⑥ 범행계좌로 이체

※ 피해유형 ‘9월 카드 거래내역’이라는 제목의 이메일에서 안내하는 인터넷주소를 클릭하자 가짜 은행사이트로 접속되면서 보안카드번호 전부를 입력한 결과, 범행계좌로 무단 이체

파밍(Pharming): 악성코드에 감염된 사용자PC를 조작하여 금융정보를 빼냄

① 사용자PC가 악성코드에 감염됨 → ② 정상 홈페이지에 접속하여도 피싱(가짜)사이트로 유도 → ③ 금융정보 탈취 → ④ 범행계좌로 이체

※ (피싱사이트) ‘http://*Kb*bank.com’ 등 정상 홈페이지로 가장하여 금융정보(보안카드번호 전부) 입력을 요구, 신종금융사기의 주요 범행수단

<출처: 사이버경찰청>

<연도별 피해금액 대비 불법이체 피해금액>

(단위:원)

구분	2010	2011	2012	2013	2014
전체 피해 총액	591,500,000	224,522,826	1,209,227,000	14,181,388,000	6,415,017,204
불법이체 피해총액	295,600,000 (49.97%)	74,202,829 (33.04%)	726,800,000 (60.10%)	13,585,441,000 (95.79%)	6,085,222,692 (94.85%)

<연도별 전체건수 중 불법이체 건수>

(단위:건수)

구분	2010	2011	2012	2013	2014
불법이체 건수	9	9	56	1775	956
전체	38	52	193	2,174	1,167

3.  사고당일 EFARS에 접수 된 비율: 5.6%

□ 금감원이 운영하는 EFARS 시스템은 2013년 사이버침해사고가 큰 사회적 문제로 인식되고 금융기관의 각별한 주의가 요구되는 시기임에도 불구하고 09년부터 입력된 전체 사고신고 중 당일신고가 5.6%밖에 되지 않을 정도로 시스템 운영의 신속성이 보장되지 않고 있음.

<연도별 사고 발생 현황>

(단위 : 건)

구분	’09년	’10년	’11년	`12년	’13년	’14년 상반기	합계
사건신고 건수	51	38	52	193	2,174	1,167	3,675
사고당일 접수건수*	19	8	24	53	0	103	207
당일 접수 비율(%)	37.25	21	46.15	27.46	0	8.8	5.6

<출처: 금융감독원>

* 금융회사는 고객 민원 제기 시 사고발생 사실을 인지 가능하며, 사고에 대한    자체·수사기관의 조사를 통해 피해사실 진위여부를 확인하고 있어 사고 발생일과 사고 접수일에 차이가 발생

ㅇ 당일신고는커녕 2014년의 경우, 사고 발생 후 1년 이상이 지난 시점에 EFARS 접수된 건수도 3건이 있었고 1개월 이상지나 접수된 건수만 해도 162건에 달해 시스템이 최대한 개선된 2014년에도 사고 접수가 신속하게 이루어지지 않는 것으로 나타남

<발생시점과 접수시점의 차이>

(단위 : 건)

구분	2010	2011	2012	2013	2014년 상반기
전체	38	52	193	2,174	1,167
1개월 이상	5	2	66	283	162
3개월 이상	2	1	53	90	62

ㅇ 전자금융사고의 특성상 사고 발생 후 몇 분 안에도 동일한 사고의 확산이 가능하기 때문에 EFARS의 기능인 전자금융사고 접수‧전파, 침해정보 공유 등에 있어서 신속성은 가장 중요한 요소임. 그런데 금감원에서 제출한 건별 사고내역을 분석해보면 사고의 발생시점과 접수시점의 차이가 좁혀지는, 즉 사고접수의 지연이 개선되는 현상은 발견되지 않음. 시스템을 운영한지 5년이 넘고 그동안 전자금융사고로 많은 피해가 발생한 점을 살펴봤을 때, 금감원의 안일한 시스템 운영은 문제 삼지 않을 수 없음.

4.  사고 접수 시 등록하는 항목에 IP주소 없음

- 가짜사이트의 도메인주소, IP주소 등의 신고 항목이 따로 없어서 한국인터넷진흥원(KISA) 등 처리기관이 신속․정확하게 확산 방지 조치를 하기에 어려움

ㅇ 최근 전자금융사고의 형태를 살펴봤을 때 이러한 사고 피해확산을 방지하기 위해  사고에 이용된 도메인주소, IP주소 등의 신속한 차단이 중요함

- EFARS 사고 접수 시 해킹이나 DDoS 공격 등의 경우에는 ISAC이, 피싱 및 파밍 등의 불법이체 사고 시 한국인터넷진흥원(KISA)이 그 처리를 담당함

ㅇ 금감원은 사고 등록 시에 해당 사이트의 IP주소를 접수․전달하여 처리 기관이 사이트차단 등의 확산 방지 조치를 하게끔 해야 함. 그런데 EFARS 사고접수 시 등록하는 내용을 보면, 사고의 개괄적인 내용만을 입력하는 방식이어서 전자금융사고의 빠른 진화를 제도가 따라가지 못하는 상태임

ㅇ 최근의 전자금융사고 형태상 유효한 IP주소가 아닌 우회 주소를 이용한 경우가 많기 때문에 IP차단이 문제의 유일한 해결책은 아니지만, 이 업무를 담당하고 있는 기관에 필수적인 정보를 제공함으로써 해당 사고를 분석하고 대처할 최대한의 노력을 하지 않았다는 점에서 문제가 있음

<EFARS에 사고접수 시 등록하는 내용>

1. 금융회사 2. 사고/장애구분 3. 종류 4. 피해금액 5. 피해인원수

6. 사고내용 7. 등록일자 8.발생시작일시 9. 발생종료일시 10. 지속시간

<출처: 금융감독원>

3		김상민의원(새누리당, 정무위원회) 코멘트

1. 금감원의 EFARS 시스템 활용에는 많은 문제가 있었음

□ 최근 신종 전자금융사고들이 생겨나고 그 수법이 다양화되면서 국민들이 겪는 고통이 상당함. 사이버침해 피해금액의 대부분이 피싱이나 파밍과 같은 전자금융사고에서 발생하는 점을 볼 때 그에 대한 금융감독원의 대처가 절실히 요망됨

□ 금융감독원은 금융권 정보보호 및 사이버안전을 위해 EFARS라는 시스템을 구축․운영하면서 사이버침해 사고에 적절하게 대처했어야 했는데 제 기능을 하지 못함. 시스템의 운영이 적절하게 이루어졌다면 전자금융사고들로 인한 피해를 최소화할 수 있었을 것임

2.  금감원은 EFARS 시스템의 효율적인 개선 방안을 마련할 것

□ 사이버침해 사고로 인한 국가적 손실과 국민들의 아픔을 금융 감독기관으로서 절감하고 그 책임을 다 해 줄 것을 요구함. 운영 과정에서 나타난 문제점들을 개선 하고 최근 발생하는 전자금융사고들의 경향에 맞추어 시스템을 변화시키기를 바람. 또한 사고에 대해 늑장 대응하는 금융회사들의 도덕적 해이는 없는지 감시 기능을 강화해야 함.