[초점] 철옹성 월가 뚫은 'SW 공급망'의 공포…JP모건·씨티 데이터 유출 비상

막대한 자금을 투입해 철통 보안을 자랑하던 미국 월스트리트(Wall Street)의 금융 요새가 외부 협력 업체라는 '가장 약한 고리'에 의해 허점을 드러냈다. 주요 대형 은행들의 부동산 대출 데이터를 관리하는 전문 기업이 해킹 공격을 받으면서, JP모건 체이스와 씨티(Citi) 등 글로벌 금융사들의 고객 정보와 법률 문서가 유출될 위기에 처했다. 이는 단순한 해킹 사고를 넘어, 금융 생태계가 얽히고설킨 '공급망 리스크(Supply Chain Risk)'의 취약성을 적나라하게 보여준 사례로 분석된다.
24일(현지시각) CNN 등 외신에 따르면 뉴욕 소재 부동산 데이터 서비스 기업 사이터스AMC(SitusAMC)는 지난 12일 자사 시스템에 대한 비인가 침입(Unauthorized access)을 탐지했다고 밝혔다. 사이터스AMC는 월가 주요 은행을 포함해 약 1500개 고객사를 보유한 업계의 핵심 데이터 허브다. 회사 측은 사건 인지 직후 고객사들에게 긴급 통지문을 발송하며 데이터 유출 가능성을 경고했다.

사이터스AMC는 지난 22일 밤 공식 성명을 통해 "일부 고객사의 계좌 기록(account records)과 법률 합의서(legal agreements) 등이 이번 공격에 노출됐다"고 시인했다. 다만 회사 측은 "사태는 현재 통제(contained)되었으며, 시스템을 암호화해 금전을 요구하는 랜섬웨어 공격은 아니었다"고 선을 그었다.

사태의 파장은 즉각 월가 전역으로 번지고 있다. 소식통에 따르면 사이터스AMC는 JP모건과 씨티 등 핵심 고객사들에게 데이터 침해 가능성을 알리는 통지문을 일괄 발송했다. 그러나 해커 집단이 구체적으로 어떤 은행의 어떤 데이터를 탈취했는지는 아직 안갯속이다.

현재 미 연방수사국(FBI)은 사태의 위중함을 인지하고 즉각 수사에 착수했다. 캐시 파텔(Kash Patel) FBI 국장은 성명을 통해 "피해 규모를 파악하기 위해 해당 기업 및 파트너들과 긴밀히 공조하고 있다"면서도 "현재까지 은행의 핵심 서비스 운영(operational impact)에 차질은 없는 것으로 파악됐다"고 밝혔다. 파텔 국장은 "중요 인프라의 보안을 수호하고 책임자를 색출하는 데 총력을 기울일 것"이라고 강조했다. 이번 사건은 뉴욕타임스(NYT)의 최초 보도로 수면 위로 드러났다.

JP모건과 씨티 측은 이번 사태에 대해 공식적인 논평을 거부하며 신중한 태도를 유지하고 있다. 이는 피해 규모가 명확히 집계되지 않은 상황에서 섣불리 대응할 경우, 시장의 불안감을 증폭시킬 수 있다는 판단에 따른 것으로 풀이된다.


전문가들은 이번 사건이 금융권 보안의 구조적 딜레마를 건드렸다고 지적한다. 대형 은행들은 매년 수억 달러를 사이버 보안에 쏟아붓지만, 업무 효율을 위해 필수적으로 연동해야 하는 외부 벤더(Vendor)들의 보안 수준까지는 완벽하게 통제하기 어렵기 때문이다.
사이버 보안 기업 TPO 그룹의 무니시 월터-푸리(Munish Walther-Puri) 중요 디지털 인프라 책임자는 "이번 사이터스AMC 침해 사고는 보안의 '가장 약한 고리(weakest links)'가 깊숙한 곳에 숨겨진 기술 파트너십과 벤더 의존성에서 비롯된다는 냉혹한 현실을 상기시킨다"고 분석했다. 은행 본진이 아무리 견고해도, 데이터를 공유하는 파트너사가 뚫리면 전체 보안망이 무력화될 수 있다는 경고다.

그는 이어 "신뢰하던 벤더 하나의 붕괴는 금융 부문을 지탱하는 보이지 않는 위험의 거미줄을 노출시키는 파장(ripple)을 일으킬 수 있다"며 "회복탄력성(resilience)은 개별 기업의 정책이 아닌, 생태계 전체의 공동 책임"이라고 강조했다.

이번 사태는 고도화된 금융 시스템이 역설적으로 외부 협력 업체라는 '보안의 외주화'로 인해 구조적 위험에 노출되어 있음을 시사한다. 월가와 수사 당국은 유출된 데이터가 2차 금융 범죄로 악용될 가능성을 예의주시하며 사태 수습에 총력을 기울이고 있다.

박정한 글로벌이코노믹 기자 park@g-enews.com