의결 제2022-334호

ㅇ 「전자금융거래법」 제21조제2항, 제51조제1항에 따라 유진투자증권㈜에 과태료 120백만원을 부과
<img src="http://www.law.go.kr/flDownload.do?flSeq=134772891" alt="2번째 이미지"></img>

가. 지적사항

1. 홈페이지 등 공개용 웹서버 관리대책 준수 위반

ㅇ 금융회사는 공개용 웹서버에서 제공하는 서비스를 제외한 다른 서비스 및 시험ㆍ개발 도구 등의 사용을 제한하고 공개용 웹서버가 해킹공격에 노출되지 않도록 대응조치를 하여야 하는데도,

- 유진투자증권㈜은 ##.#.#. ~ ##.#.#. 기간 중 공개용 웹서버에 대한 보안관리 대책을 아래와 같이 소홀히 함에 따라

- ##.#.#. 및 ##.#.#. 공격자가 웹서버에 테스트 페이지의 취약점을 이용한 해킹 공격을 실행하여 미상의 정보가 유출되는 결과를 초래하였음


2. 해킹 등 방지대책 준수 위반

ㅇ 금융회사는 해킹 등 전자적 침해행위에 대비한 시스템 프로그램 등의 긴급하고 중요한 보정(patch) 사항에 대하여 즉시 보정작업을 실시하여야 하는데도,

- 유진투자증권㈜은 ##.#월 전산자원관리시스템의 제조사가 보안취약점을 보정한 새로운 버전의 보안패치를 고객사에 배포함에 따라

- ##.#.#.부터 동 시스템에 연결된 내부망 서버 및 PC 등에 동 보안패치를 적용하던 중 오류가 발생하여 ##.#.#. 보안패치 보정작업을 보류하였으나,

- 이후 ##.#.#. 오류 확인 결과, 해당 오류가 동 보안패치와 관련이 없는 것으로 확인되었음에도

- 전체 보안패치 보정작업 대상 △△대 중 △△대(서버 △△대, PC △△대)에 대해서만 새로운 보안패치를 적용하고, 나머지 △△대(서버 △△대, PC △△대)에 대해서는 동 보안패치를 적용하지 않고 운영함

- 이에 따라 ##.#.#. 공개용 웹서버의 취약점을 이용하여 내부통신망에 침투한 외부 공격자가 동 시스템에 악성코드(랜섬웨어) 파일을 배포ㆍ실행함에 따라 서버 △△대 및 PC △△대 등 총 △△대가 악성코드에 감염되는 결과를 초래하였음

나. 근거법규

ㅇ 「전자금융거래법」 제21조 제2항, 제51조제1항
ㅇ 「전자금융감독규정」 제7조
제15조제1항제2호
제17조제1항제3호, 제4항