유진투자증권주식회사 금감원 제재공시 · 2022-11-30

제재내용 공개안

1. 금융회사명 : 유진투자증권㈜

2. 제재조치일 : 2022. 11. 30.

3. 제재조치내용

제재대상 제재내용

기관 기관주의 과태료 부과 백만원 , (120 )

임원 주의 명 1

직원 견책 명 퇴직자 위법·부당사항 견책 상당 명

2 , ( ) 1

4.제재대상사실

가. 전자금융거래의 안전성 확보의무 위반

⑴ 홈페이지 등 공개용 웹서버 관리대책 준수 위반

□ ｢전자금융거래법｣ 제 조제 항 및 ｢전자금융감독규정｣ 제 조21 2 7 ,

제 조제 항제 호 및 제 항에 의하면 금융회사는 공개용 웹서버

17 1 3 4

에서 제공하는 서비스를 제외한 다른 서비스 및 시험․개발 도구 등의 사용을 제한하고 공개용 웹서버가 해킹공격에 노출

되지 않도록 대응조치를 하여야 하는데도 ,

◦ 유진투자증권㈜은 ○○○○○○○○ ○○○○○○○○ 기간 중 공개용 . . .~ . . .

웹서버에 대한 보안관리 대책을 아래와 같이 소홀히 함에 따라

○○○○○○○○ 및 ○○○○○○○○ 공격자가 웹서버에 ◇◇ 페이지의

. . . . . .

취약점을 이용한 해킹 공격 ◆◆ 을 실행하여 ◎◎가 유출되는 ( )

결과를 초래하였음

- 1 -

① △△팀 및 ▽▽팀은 ○○○○○○○○ ○○○○○○○○ 기간 중 공개용 . . .~ . . .

웹서버에 홈페이지 개발업체가 ▲▲ 기능을 시험하기 위해 생성한 ▼▼▼▼ 웹페이지를 삭제하지 않고 운영하였음

② △△팀은 ○○○○○○○○ ○○○○○○○○ 기간 중 웹방화벽에서 ◆◆ 등

. . .~ . . .

비정상적인 서비스 요청이 탐지되었음에도 모니터링을 실시하지 않아 차단하지 못했음

⑵ 해킹 등 방지대책 준수 위반

□ ｢전자금융거래법｣ 제 조제 항 및 ｢전자금융감독규정｣ 제 조 제 조

21 2 7 , 15

제 항제 호에 의하면 금융회사는 해킹 등 전자적 침해행위에 대비한

1 2

시스템 프로그램 등의 긴급하고 중요한 보정 사항에 대하여 (patch)

즉시 보정작업을 실시하여야 하는데도 ,

◦ 유진투자증권㈜은 ○○○○○○ ★★시스템 ◎◎ 의 제조사 ■■ 가 . . ( ) ( )

동 시스템의 보안취약점을 보정한 새로운 버전의 보안패치를

고객사에 배포함에 따라 ○○○○○○○○ 부터 동 시스템에 연결된 . . .

내부망 서버 및 등에 동 보안패치를 적용하던 중 업무 PC

시스템에 오류가 발생하여 ○○○○○○○○ 보안패치 보정작업을 . . .

보류하였으나 이후 ○○○○○○○○ 해당 업무시스템의 오류 확인

, . . .

결과 해당 오류가 동 보안패치와 관련이 없는 것으로 확인 ,

되었음에도 전체 보안패치 보정작업 대상 ○○대 중 ○○대 서버 ○○대 ( ,

PC ○○대 에 대해서만 새로운 보안패치를 적용하고 나머지 ○○대 서버

) , (

○○대 ○○대 에 대해서는 동 보안패치를 적용하지 않고 운영함

, PC )

이에 따라 ○○○○○○○○ 공개용 웹서버의 취약점을 이용하여

. . .

내부통신망에 침투한 외부 공격자가 보안취약점이 존재하는 ★★시스템을 발견하고 동 시스템에 업데이트 파일로 가장한 악성코드 ◁◁ 파일을 업로드하여 배포‧실행함에 따라 내부통신망

( )

서버 ○○대 및 ○○대 등 총 ○○대가 악성코드에 감염되는 PC

결과를 초래하였음

<관련 규정 >

1.｢전자금융거래법｣ 제 조제 항21 2

｢전자금융감독규정｣ 제 조

제 조제 항제 호 및 제 항

2. 7 ,

제 조제 항제 호

17 1 3 4 ,

15 1 2