우리은행 금감원 제재공시 · 2020-07-08

제재내용 공개안

1. 금융회사명 : ㈜우리은행

2. 제재조치일 : 2020. 7. 8.

3. 제재조치내용

제재대상 제재내용

기 관 기관경고 과태료 만원 *

, 8,000

퇴직자 위법・부당사항 정직 월 상당 명 ( 3 ) 2 ,

감봉 월 명3 1 ,

임 원 퇴직자 위법・부당사항 문책경고 상당 명 ( ) 1 ,

퇴직자 위법・부당사항 주의적경고 상당 명 ( ) 1 ,

퇴직자 위법・부당사항 주의 상당 명 ( ) 1

직 원 자율처리 필요사항

* 2020.5.13. 제재 조치한 우리은행 경영실태평가 검사의 기관 조치사항(기관경고)과 경합하여 별도 조치 생략

4. 제재대상사실

가. 문책 및 자율처리필요사항

(1) 전자금융거래의 안전성 확보의무 위반

㈎ 차세대시스템 구축 부적정

금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력 시설 및 정보기술부문 등에 관하여 금융위원회가 ,

정하는 기준을 준수하여야 하고 ,

금융위원회는 「전자금융감독규정」으로 그 기준을 정하여 금융회사로 하여금 인력 조직 및 예산 부문 건물 전산실 등 시설 부문 단말기 전산자료 정보처리

, , , , , ,

시스템 등 정보기술부문 등에 관하여 안전성을 갖추도록 의무를 부과하고 있으며 ,

위 전자금융감독규정에 따라 금융회사는 전자금융업무와 관련된 정보처리

시스템을 구축․운영하는 사업자인 전자금융보조업자와 제휴 위탁 또는 외부주문 ,

외부주문 등 에 관한 계약을 체결할 때에는 계약내용의 적정성을 검토하고 자체적

( )

으로 통제가 가능하도록 회사 내부의 조직과 인력을 갖추어야 하고 ,

전자금융업무와 관련한 프로그램을 운영시스템에 적용하는 경우에는 처리 하는 정보의 기밀성․무결성․가용성 등을 고려하여 충분한 테스트 후 실시하는 등 프로그램 등록․변경․폐기 절차를 수립․운영하여야 하는데도

우리은행은 차세대시스템 구축 사업을 추진하면서 다음 ․ 와 같이 사업 1) 2)

관리를 위한 충분한 인력ㆍ조직을 갖추지 아니하고 처리정보의 무결성 등을 ,

고려한 충분한 테스트를 실시하지 않는 등 그 의무를 위반하여 차세대시스템 ,

가동 이후 대외계 업무 중단 총 ♧♧시간 ♧♧분 및 프로그램 오류 등으로 인한

( )

약 ♠♠억원의 금전사고 등을 초래함으로써 전자금융거래의 안전성과 신뢰성을 ,

훼손한 사실이 있음

우리은행은 ⊗⊗⊗⊗년 전산시스템 개발·운영 업무를 전산자회사에 일괄 1)

위탁하여 주로 계약관리 위주의 업무를 수행함으로 인해 은행 인력의 대규모 , IT

사업 관리경험이 부재하고 실무 업무에 대한 전문성이 결여된 상황에서

IT , IT

차세대시스템 구축 사업을 추진함에 따라 외부주문 등 관련 사항을 자체적 으로 통제하지 못하는 등 사업관리를 위한 충분한 인력ㆍ조직을 갖추어야 할 의무를 위반하여 사업관리 부실을 야기

차세대시스템의 운영시스템 적용에 있어서도 장애발생 가능성이 높은 2)

테스트 유형을 누락하는 등 처리하는 정보의 기밀성・무결성・가용성을 고려한 충분한 테스트를 실시하여야 할 의무를 위반하여 테스트 단계에서 발견된 결함이 차세대시스템 가동 이후 동일하게 재발하는 등의 결과를 초래하였음

< 관련규정 >

- 전자금융거래법 제 조 제 항 21 2

- 전자금융감독규정 제 조 제 조 제 항 제 조 제 호

7 , 8 1 , 29 6

㈏ 공개용 웹서버 해킹방지대책 불철저

금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력 시설 및 정보기술부문 등에 관하여 금융위원회가 ,

정하는 기준을 준수하여야 하고 ,

금융위원회는 「전자금융감독규정」으로 그 기준을 정하여 금융회사로 하여금

공개용 웹서버에 대한 관리대책을 수립․운용토록 의무를 부과하고 있으며 ,

나아가 비대면의 자동화된 방식으로 이루어지는 전자금융업무의 특성상 ,

금융회사는 이용자 정보 등의 처리에 있어 고도의 자율성·독립성을 부여받고 있으므로

그 보호 조치를 이행함에 있어서도 전자금융거래가 안전하게 처리될 수 있도록 ,

선량한 관리자로서의 주의를 다하여야 하는데도 ,

우리은행은 다음 ～ 과 같이 ◈◈◈◈시스템 ♣♣♣♣♣♣시스템 ◎◎

1) 3) , ,

◎◎◎◎◎◎시스템 등을 소홀히 운영함으로써 ～ 총 일간 , 2018.6.13. 6.28. 16

불상자의 ◆◆개 주소와 총 ♤ ♤♤♤ ♤♤♤개의 아이디 로 우리은행 인터넷

IP , , (ID)

뱅킹 홈페이지에 총 ◇ ◇◇◇ ◇◇◇번 대량 부정 로그인이 시도된 사이버공격에서

, ,

그 중 로그인이 된 총 ○○ ○○○개의 로 부정접속을 통해 고객의 인적사항

, ID ,

거래내역 등에 관한 정보가 유출되었거나 유출이 의심되는 상황을 초래하게 하는 등

공개용 웹서버에 대한 관리대책을 충분히 갖추지 아니하였을 뿐만 아니라 선량한 ,

관리자로서 주의의무를 다하지 아니하여 전자금융거래의 안전성과 신뢰성을 훼손한 사실이 있음

1)우선 ◈◈◈◈시스템 측면에서 볼 때 우리은행은 위와 같은 사이버공격이

, ,

이루어진 기간 동안 ◈◈◈◈시스템을 운영하면서

검사기준일 최근 년간 월 1 월 은행 자체분석을 통해 사전에

(2017.11 ~2018.10 )

등록된 임계치 변경이 약 ▣ ▣ 에 불과하는 등 임계치 탐지기준 조정이 미흡하였고

. % ( ) ,

◈◈◈◈시스템을 차단모드가 아닌 탐지모드로 운영하는 등에 따라 위와

같은 사이버공격이 즉시 분석되지 않았을 뿐 아니라 탐지된 부정접속 등 의심 ,

내역에 대한 분석과 추가적인 사이버공격을 방지하기 위한 사후보완 조치가 필요함 에도 불구하고 이를 위한 분석이나 사후보완 조치가 적시에 반영이 되지 않아 ,

불상의 해커의 사이버공격에 장기간 노출되도록 하였음 다음 ♣♣♣♣♣♣시스템의 측면에서 볼 때도 우리은행은 위와 같은

2) , ,

사이버공격이 이루어진 기간 동안 ♣♣♣♣♣♣시스템을 운영하면서 ,

◈◈◈◈시스템을 통해 단시간에 시도되는 사이버공격을 차단함과 더불어 ,

♣♣♣♣♣♣시스템에 장기 보관된 데이터 통합 로그 를 통해 특정 기간 동안 ( )

이루어진 사이버공격 패턴 등을 분석하여 이상 징후를 탐지하거나 그 분석 결과를 보안시스템 설정에 반영하는 등의 예방활동을 소홀히 하였음 나아가 우리은행은 위와 같은 사이버공격이 이루어진 기간 동안 ◎◎

3) ,

◎◎◎◎◎◎시스템을 운영하면서 ,

특정 주소가 특정 웹페이지에 일정한 조건 이상으로 접근하는 경우에 IP

부정접속으로 탐지하게 되는 ◈◈◈◈시스템과는 달리 ◎◎◎◎◎◎◎◎시스템 ,

으로는 주소 접속이력 등을 활용하여 해커들이 사용하는 특정 단말기에서 인터넷 IP

뱅킹에 다수의 로 로그인하는 이상금융거래까지도 탐지할 수 있을 뿐만 아니라

ID ,

위와 같은 사이버공격 당시의 ◎◎◎◎◎◎◎◎시스템 기술 수준 등에 비추어 볼 때 특정 주소에서 특정 로 여러 번 로그인을 성공・실패하는 등의 정보를

IP ID

활용하여 위와 같은 대량 부정접속을 충분히 탐지할 수 있었음에도 불구하고 ,

우리은행은 위 와 같이 ◈◈◈◈시스템 및 ♣♣♣♣♣♣시스템을 소홀히 1), 2)

운영한 사실 외에도 위와 같은 사이버공격이 이루어진 기간 동안 대량 부정접속 형태의 사이버공격을 탐지하거나 차단하기 위하여 ◎◎◎◎◎◎◎◎시스템을 가동 하지 아니함으로써 전사적 차원에서 개인신용정보를 보호해야 할 고객과의 신임 관계를 저버린 사실이 있음

< 관련규정 >

- 전자금융거래법 제 조 제 항 제 항

21 1 , 2

- 전자금융감독규정 제 조 제 조 제 항7 , 17 4