㈜케이지이니시스 금감원 제재공시 · 2015-05-07

제재내용 공개

1. 금융기관명 : (주)케이지이니시스

2. 제재조치일 : 2015. 5. 7.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 기관주의

임 원 |

직 원 | 퇴직자위법사실통지 3명, 주의 2명 [/표]

4. 제재대상사실

가. 문책사항

(1) 정보처리시스템 안전대책 수립·운용 소홀에 따른 고객정보 유출

(가) 악성코드 감염 방지 대책 이행 불철저

｢전자금융감독규정｣ 제16조에 의하면 전자금융업자는 악성코드 감염을 방지하기 위하여 악성코드 검색 및 치료를 위한 백신프로그램을 최신상태로 유지하여야 하고

악성코드 감염이 발견된 경우 악성코드 확산 및 피해를 최소화하기 위하여 필요한 조치를 신속하게 취하여야 하는데도

□년□월□일 해커에 의한 악성코드 유입 당시 악성코드 검색 및 치료를 위한 백신 프로그램을 설치하지 않거나 최신상태로 수정하지 않고 그룹웨어시스템 및 경영정보시스템을 운영하였으며

□년□월□일 악성코드에 감염된 ◈대의 PC에 대해 신속하게 조치를 취하지 않음으로써

□년□월□일 ~ □월□일 기간 중 해커가 감염된 PC를 이용하여 홈페이지 등 ◈대 서버에 접속할 수 있도록 허용하는 등 악성코드 감염 및 확산 방지 대책 이행을 소홀히 하였음

<관련규정>

1.「전자금융감독규정」제16조

(나) 공개용 웹서버 보호대책 불철저

｢전자금융감독규정｣ 제17조에 의하면 전자금융업자는 공개용 웹서버가 해킹공격에 노출되지 않도록 제공하는 서비스를 제외한 다른 서비스 등의 사용을 제한하고, 서버의 환경설정과 관련 취약점을 적절하게 조치하여야 하는데도

가맹점 홈페이지 서버의 부적절한 환경설정으로 해커가 설치한 악성프로그램에 의해 DB접속용 계정 비밀번호가 탈취되었으며

탈취된 DB 계정 비밀번호와 홈페이지 서버에 설치된 악성프로그램에 의해 □년□월□일 ~ □월□일 기간 중 DB서버에 보관중인 ◈건의 고객정보 및 거래내역이 탈취되었음

<관련규정>

1.「전자금융감독규정」제17조

(다) 내부 사용자 및 이용자 계정 관리 불철저

｢전자금융감독규정｣ 제32조 및 제33조에 의하면 전자금융업자는 내부사용자 및 이용자 비밀번호 보관시 암호화하여 보관하여야 하는데도

가맹점 홈페이지 및 그룹웨어 서버의 비밀번호를 평문으로 보관함으로써 □년□월□일 해커가 설치한 해킹프로그램에 의해 가맹점접속 비밀번호 ◈건, 내부 직원 이메일 및 비밀번호 ◈건이 탈취되었음

<관련규정>

1.「전자금융감독규정」제33조

(라) 해킹방지 대책 불철저

｢전자금융감독규정｣ 제15조에 의하면 전자금융업자는 중요한 보정(patch)사항에 대하여 즉시 보정작업을 실시하여야 하며, 정보보호시스템을 설치·운영하는 경우 최소한의 서비스번호(port)만을 적용하여야 하는데도

□년□월 이니포인트 홈페이지 서버의 최신버전 보정사항이 출시되었음에도 □년□월에 출시된 구버전을 사용하였고, DB서버에 대해서는 □년□월 이후 보정작업을 전혀 실시하지 않았으며

방화벽 등 정보보호시스템을 운영하면서 업무와 무관한 외부 접속을 차단하지 않아, □년□월□일~□월□일 기간 중 ◈대의 서버에서 해킹이 가능하였음

<관련규정>

1.「전자금융감독규정」제15조

(마) 서버 취약점 분석·평가 및 정보처리시스템 가동기록 관리 불철저

舊｢전자금융감독규정｣ 제15조에 의하면 전자금융업자는 정보처리시스템에 대해서 매년 취약점을 분석ㆍ평가하고 그 이행계획을 수립ㆍ시행하여야 하며

｢전자금융감독규정｣ 제13조에 의하면 전자금융업자는 정보처리시스템에 접속한 일시, 접속자 및 접근을 확인할 수 있는 접근기록 등 가동기록을 1년 이상 보존해야 하는데도,

□년□월□일 ~ □월□일 기간 중 DB서버 등 ◈대 서버에 대해 취약점 분석·평가를 실시하지 않았으며,

□년□월□일 ~ □월□일 기간 중 악성코드에 감염된 PC를 통해 홈페이지에 접속한 로그가 자동기록 되도록 시스템 환경을 설정하지 않아 웹쉘프로그램 설치 경로 등 해커의 접속내역 추적이 불가능하였음

<관련규정>

1. 舊「전자금융감독규정」제15조

2.「전자금융감독규정」제13조

나. 주의사항

(1) 공개용 웹서버 보호대책 및 서버 취약점 분석·평가 불철저

｢전자금융감독규정｣ 제17조 및 제29조에 의하면 전자금융업자는 공개용 웹서버의 안전한 관리를 위하여 서버 환경설정 관련 취약점을 적절하게 조치하여야 하고

전산 프로그램의 운영시스템 적용 전에 자체 보안성 검증을 실시하여야 하며

舊 ｢전자금융감독규정｣ 제17조 및 ｢전자금융감독규정｣ 제37조의2에 의하면 전자금융업자는 공개용 웹서버에 대해서 6개월마다 취약점을 분석ㆍ평가하고 그 이행계획을 수립ㆍ시행하여야 하는데도,

가맹점 홈페이지의 시스템 환경설정 파일과 관련 프로그램에 인터넷 검색엔진에 대한 접근차단 기능을 포함하지 않고, 이에 대한 자체 보안성 검증도 실시하지 않음으로써

□년□월□일 ~ □월□일 기간 중 고객정보와 거래정보 등이 기재된 매출전표 ◈건이 구글 검색엔진에 노출되었고, ◈건의 고객정보가 조회·유출되었으며

□년□월□일 ~ □월□일 기간 중 가맹점 홈페이지에 대해서 취약점 분석ㆍ평가를 실시하지 않는 등 공개용 웹서버 보호대책을 소홀히 하였음