증권사 망연계 파일 보안 실무 —
미래에셋 110억·Qilin 19사·한투 167억

2025년 9월 22일. 러시아계 국제 랜섬웨어 조직 Qilin(퀼린·일명 킬린)이 한 달 만에 국내 자산운용사 19곳을 연쇄 해킹한 사실이 확인됐다^[1]. 진입점은 전산관리 외주업체 지제이텍(GJ Tech). 투자자 개인정보·세무서류·임직원 자료·투자자 비밀번호까지 다크웹에 공개됐다. 같은 해 11월에는 카카오 전 투자총괄대표 배재현 계좌에서 110억원 상당이 탈취된 미래에셋증권 해킹 사건이 민사소송으로 번졌다^[2]. 이 두 사건은 2026년 증권사 보안의 좌표를 명확히 보여준다. 망연계 구간·외주 공급망·개인정보 보관 지점마다 위협이 누적되고 있으며, 규제는 이에 맞춰 원칙 중심으로 재편되고 있다. 이 글은 실제 사건·예산·규제·국제 비교를 숫자로 정리하고, 시큐레터의 증권 4사 수주 사례를 바탕으로 실무 설계 원리를 제시한다.

사건 1 — 미래에셋증권 배재현 전 대표 해킹 (2023~2025)

2023년 배재현 카카오 전 투자총괄대표의 미래에셋증권 계좌에서 주식·현금 약 110억원(시가 기준)이 탈취됐다. 피해자는 배 전 대표 한 명만이 아니다 — 총 258명, 피해액 합계 390억원 규모^[2].

공격 수법은 전형적인 SIM 스와핑 결합형이었다^[5]:

1. 이동통신사 전산에서 자산가들의 주민번호·휴대폰번호 탈취
2. 위조 신분증 · 대포폰 제작
3. HTS 접속 → 비밀번호 재발급
4. 이체한도 5억원으로 상향
5. 타사대체출고로 자산 이전

2025년 11월 배 전 대표가 미래에셋을 상대로 110억원대 민사소송을 제기했다. 미래에셋 측은 "실제 피해액은 15억8,000만원 수준"이라고 반박^[2]. 실제 피해 규모와 별개로, 이 사건은 증권사 HTS 접속·이체 통제가 통신사 공급망을 경유한 공격에 어떻게 뚫리는지를 공개적으로 드러낸 첫 대형 사례였다.

사건 2 — Qilin 랜섬웨어 자산운용사 19곳 연쇄 침해 (2025.9)

러시아계 국제 랜섬웨어 조직 Qilin이 한 달 만에 국내 자산운용사 19곳을 연쇄 해킹했다^[1]. 서울경제 보도 — "국제 해커그룹 킬린이 한 달 만에 국내 자산운용사 19곳을 해킹해 다크웹에 비밀번호까지 공개했다."

공격 진입점은 전산관리 외주업체 지제이텍이었다. 투자자 개인정보 · 세무서류 · 임직원 자료 · 투자자 비밀번호(PIN)까지 다크웹에 공개됐고, 개인정보보호위원회가 조사에 착수했다. 자산운용사는 보안 인력·예산이 은행·증권사보다 제한적이라 공급망 기반 동시 침해에 구조적으로 취약하다는 점이 드러났다.

사건 3 — 유안타증권 고객정보 83만 건 유출 (2024.6)

투자대회 플랫폼 외주사 대표가 고객 7,700명의 개인정보 83만 건을 무단 취득해 제3자에게 판매했다. 유출 정보는 비상장주식 판매사기에 이용돼 수억원의 2차 피해까지 발생^[6]. 외주사 대표는 구속·실형. 다만 재판부는 정통망법 위반에 대해 유안타의 책임은 무죄로 판결하며 "관리 허술"만 지적했다.

2021~2025년 금감원 자료에 따르면 36개 증권사에서 총 431건의 전산장애가 발생했다(연평균 약 100건)^[4]. 같은 기간 증권사 자체 추산 피해액은 154억8,900만원. 그런데 금감원 제재는 단 7건, 과태료 합계 5억1,160만원에 그쳤다.

뉴시스 분석의 핵심 문장 — "5년간 36개 증권사 전산장애 431건 발생, 제재는 7건·과태료 5억1,160만원에 그쳤다."^[4] 제재 강도가 낮다는 지적이 업계에서 제기됐고, 2026년 3월 금감원은 "무관용 제재" 방향 전환을 공식화했다^[7]. 반복 IT 장애와 내부통제 미비에 대해 법정 최고한도 제재를 예고한 것이다. FSS 관계자 표현 — "감독의 무게중심이 사후 대응에서 선제 차단으로 이동했다."

금융업권 전반으로 범위를 넓히면 2021~2025년 전산장애 1,763건으로 매년 증가 추세다^[8]. 증권사 5년간 전자금융사고는 429건이며, 2025년 상반기만 58건(악성코드 감염·개인신용정보 유출 포함)이 집계됐다^[3].

10대 증권사 평균 정보보호 예산 143억원

더벨이 2025년 11월 공개한 자료에 따르면 10대 증권사 평균 정보보호 예산은 142억8,200만원^[9]. 메리츠증권은 약 47억 수준으로 평균의 3분의 1에 불과해 업계 하위.

한국투자증권의 IT 13.2% 정보보호 집중 투자

2024년 한국투자증권은 IT 총투자 1,261억원 중 167억원(13.2%)을 정보보호에 집행^[3]. 증권업계 투자액·비율 모두 1위. 주요 투자 영역은 "클라우드 보호 플랫폼과 클라우드 기반 사외 접속 보안 강화"로 공개됐다. 뉴스토마토 기사 인용 — "한국투자증권은 IT 투자 1,261억원 중 13.2%(167억)를 정보보호에 집행해 증권업계 비율 1위를 차지했다."

2025 자율공시 5개사 — 2021년 대비 5배 증가

증권사	2024 정보보호 투자	자기자본대비
한국투자증권	167억	0.42%
신한투자증권	138억	0.51%
NH투자증권	100억	0.25%
대신증권	56억	—
SK증권	37억	2.07% (비중 1위)

출처: FETV 2025.12^[10]. 2021년까지 증권사 정보보호 자율공시는 0곳이었다가 2025년 5곳으로 확대. 업계 투명성이 점진적으로 개선되는 신호.

정보보호 인력의 내부 비중

정보보호 인력을 외주 대신 내부 조직으로 운영하는 비중도 편차가 크다^[3].

• 토스증권 89% (21.7명 중 19.5명)
• NH투자증권 84%
• 대신증권 69%
• SK증권 62%

내부 비중이 높을수록 보안 의사결정의 속도·일관성이 확보된다. 공급망 침해가 잦은 환경에서는 내부화가 보안 품질로 직결된다는 지적이 업계에서 반복적으로 제기된다.

2024.9.15 — 개정 전자금융감독규정 시행 (행위규범 293 → 166)

2023년 9월 14일 공포된 개정 전자금융거래법이 2024년 9월 15일 시행됐다^[11]. 금융위 고시 제2024-44호로 감독규정도 함께 개정. 핵심 변화는 열거식 행위규범을 원칙 중심으로 재편한 것이다.

김앤장 법률사무소 해설 — "2025.2.5. 시행된 전자금융감독규정 개정은 행위규범을 293개에서 166개로 감축해 금융회사의 자율성과 유연한 보안 대응 여지를 확대"^[12]. 동시에 CISO의 이사회 직접 보고 의무화(2025.8.5 시행), 재해복구센터 구축 의무, 손해배상 보험 한도 상향(자본시장 5억→10억)이 추가됐다.

2024.8 — 망분리 개선 로드맵 (자율보안-결과책임)

김병환 금융위원장이 2024년 8월 13일 발표한 금융분야 망분리 개선 로드맵^[13]. 3대 추진과제는 다음과 같다.

1. 생성형 AI 샌드박스 허용
2. SaaS 이용 확대 (문서·인사관리 → 보안관리·CRM까지)
3. 연구개발 환경 물리 제한 완화

김 위원장 공식 발언 — "자율보안-결과책임 원칙에 입각한 新 금융보안체계를 구축하겠다." 증권사 입장에서는 망분리의 제약이 풀리는 만큼 파일 반입·반출 경로의 콘텐츠 검증이 새롭게 중요해지는 전환점이다.

2026.2 — SaaS 망분리 규제 명시적 예외화

SaaS가 전자금융거래법상 망분리 규제의 명시적 예외 사유로 규정됐다^[14]. 단, 이용자 고유식별정보·개인신용정보 처리 SaaS는 제외. 증권사는 일반 업무 SaaS(협업·인사·CRM)를 사용할 수 있게 됐고, 반대로 개인정보 처리 SaaS 이용 시에는 더 엄격한 통제가 요구된다.

2026.2 — 전자금융기반시설 평가기준 869개 확대

금융보안원은 2026년 취약점 평가기준을 15개 분야 869개 항목으로 확대했다(전년 대비 +80개, +9.2%)^[15]. 클라우드 관리체계 신설(73개 신규), WAS·미들웨어 별도 분리, 가상자산 거래소 전용 기준이 추가됐다. 2026년부터는 중대 취약점 미보완 회사에 현장점검·검사가 실시된다.

2022년 10월 시큐레터가 증권 4사에 망연계·이메일 보안 솔루션을 동시 수주한 것은 증권업계 파일 보안 시장의 분수령이었다^[16].

증권사	도입 제품	용도
대신증권	시큐레터 솔루션	지능형 해킹 방지 시스템
이베스트투자증권	MARS SLE + SLF	이메일 + 망연계 악성코드 탐지
KB증권	MARS SLF	망연계 악성코드 탐지
한국투자증권	MARS SLF	비실행형 파일 APT 공격 차단

임차성 시큐레터 대표 당시 발언 — "증권사 망연계 보안사업 수주를 계기로 고객 자산을 다양한 보안 위협으로부터 안전하게 보호하겠다."^[16]

도입된 MARS SLF는 용량 제한 없이 망분리·문서중앙화·웹게시판에 적용 가능하도록 설계됐다. 리버스엔지니어링 기반 비실행형 파일 분석이 핵심이다. 시큐레터의 2019년 KISA 성능평가 탐지율 100% 인증과 TTA GS 인증 12.027초 응답 시간이 증권사 성능 요건 충족의 근거가 됐다.

MARS SLF 아키텍처의 증권사 적합성

• 실시간 파일 무해화 — 평균 34ms 처리^[17]로 거래 지연 영향 최소
• HWP · HWPX 완전 지원 — 공공·감사 자료 형식 처리
• 망연계 구간 전용 — 기존 망분리 시스템과 연동 배포
• 감사 증적 자동화 — 2024.9 개정 감독규정의 "결과책임" 요건 대응

미국 FINRA 2024 Regulatory Oversight Report

FINRA는 사이버보안을 broker-dealer의 주요 운영 리스크로 규정한다^[18]. 9개 평가영역 — 거버넌스 · 리스크평가 · 기술적 통제 · 접근관리 · 사고대응 · 벤더관리 · DLP · 변경관리 · 지점 통제. "Cybersecurity is one of the principal operational risks faced by broker-dealers"라는 문장이 보고서 서두에 명시된다.

SEC Regulation S-P Rule 30이 고객기록 보호를 위한 행정·기술·물리적 안전장치를 명시하고, FINRA Rule 4370은 업무연속성계획에 DDoS를 포함시킨다. 미국은 규제보다 책임 기반 자율 운영을 강조하는 구조다.

일본 FSA 금융기관 사이버보안 가이드라인 (2024.10.4 시행)

일본 금융청이 2024년 10월 4일 시행한 가이드라인은 6대 영역으로 구성된다^[19]:

1. 관리체계 확립
2. 리스크 식별
3. 공격 방어
4. 탐지
5. 대응·복구
6. 제3자(공급망) 리스크

FY2023부터 증권사·보험사 대상 자가진단이 확대됐다. 아웃소싱·클라우드 리스크 관리·사고신고 강화가 핵심. Qilin의 지제이텍 경유 공격이 한국에서 현실화되기 1년 전에 일본은 이미 공급망 리스크를 6대 영역 중 하나로 명시한 셈이다.

미국 FFIEC — 원칙 기반 가이드라인

FFIEC(Federal Financial Institutions Examination Council) 가이드라인은 의무 규정이 아닌 원칙 기반 가이드라인이다^[20]. 물리적 망분리와 논리적 분리 중 선택권이 있다. "Network controls should establish trusted and untrusted zones with appropriate access restrictions based on asset criticality and risk characteristics."

라자루스 (북한 정찰총국) — 2025년 집중 재개

연합뉴스 2025년 11월 28일 보도 — "북한 라자루스·김수키가 1년간 한국을 겨냥한 공격이 58건에 달한다."^[21] 라자루스는 2019년 업비트 580억 이더리움 탈취에 가담한 것으로 분석됐으며, 2025년 11월 업비트 445억원 해킹의 배후로 유력하게 지목됐다.

라자루스 산하 BlueNoroff(APT38)는 가상자산·금융 사용자를 타겟으로 하는 macOS 악성코드 캠페인을 지속한다^[22]. 2025년 2월 단일사건 기준 역대 최대(약 15억 달러) 거래소 해킹에 FBI가 북한 소행으로 지목한 사례도 있다.

키움증권 사칭 스미싱 (2024.6)

키움증권은 이체·결제 유도 스미싱 주의보를 2024년 6월 공식 발령했다^[23]. 증권사 고객의 휴대폰 기반 인증 환경이 SIM 스와핑과 결합되면 미래에셋 사건처럼 대규모 탈취로 이어질 수 있다.

2023.4 — 라자루스의 금융보안인증 SW 취약점 악용

라자루스가 국내 금융보안인증 소프트웨어 취약점을 악용해 언론사 등 61곳을 침해한 사건^[24]. 국정원·KISA·경찰 합동 발표. 증권사가 직접 표적이 아니었지만, 금융 업계 전반에서 쓰는 공용 소프트웨어의 공급망 취약점이 국가 단위 공격의 통로가 될 수 있음을 확인한 사례다.

2025년은 증권·자산운용 업계에 3개의 전환점이 겹친 해였다. Qilin 19사 연쇄 침해는 공급망 방어의 공백을 증명했고, 미래에셋 110억 소송은 통신사-증권사 경계의 취약성을 법정으로 가져갔으며, 금감원 무관용 제재 선언은 사후 대응의 시간이 끝났음을 공식화했다.

동시에 2026년 시행된 감독규정 재편(293→166), 평가기준 확대(789→869), SaaS 예외 허용은 증권사가 자율적으로 보안 아키텍처를 재설계해야 하는 환경을 만들었다. 규제가 줄어든 자리를 결과책임과 자율보안이 채웠다.

증권사 IT 환경의 속도 요구는 변하지 않았다. 거래 체결은 여전히 밀리초 단위이고, 리서치 배포 타이밍은 수익과 직결된다. 성능을 잃지 않는 보안이 현실적 선택지다. 시큐레터의 34ms 무해화 속도, 12.02초 TTA 인증 응답 시간, 309종 파일 포맷 완전 지원, 2019년 KISA 100% 탐지율 인증, 그리고 대신·이베스트·KB·한국투자증권의 2022년 수주 레퍼런스가 이 선택지의 실증 기반이다.