홍콩 증권선물위원회(SFC)는 사이버 보안 부실로 룩푹 증권에 210만 홍콩달러의 벌금을 부과했습니다.

홍콩 증권선물위원회(SFC)는 랜섬웨어 공격으로 인해 영업 및 고객 서비스가 중단된 룩푹증권(홍콩)유한회사(LFSHK)가 적절한 사이버 보안 통제를 시행하지 않았다는 이유로 견책 처분을 내리고 210만 홍콩달러의 벌금을 부과했습니다.

2022년 9월에 발생한 사이버 공격으로 파일 서버, 이메일 시스템, 거래 애플리케이션 및 회계 서버를 포함한 회사의 핵심 IT 인프라가 손상되었습니다. 복구 기간 동안 고객들은 모바일 또는 온라인 거래 플랫폼에 접속할 수 없었으며, 담당 계좌 관리자를 통해서만 주문을 처리할 수 있었습니다. 회사는 사건 발생 후 약 3주 만에 시스템을 완전히 복구했습니다.

증권선물위원회(SFC)의 조사 결과, 해당 공격은 회사의 원격 접속 시스템의 취약점을 악용한 것으로 드러났으며, 사이버 보안 체계 전반에 걸쳐 여러 가지 결함이 확인되었습니다. 이러한 결함에는 부실한 방화벽 보호 및 네트워크 모니터링, 노후화된 운영 체제 및 바이러스 백신 소프트웨어, 취약한 사용자 접근 제어, 미흡한 비밀번호 관리, 원격 접속 및 외부 장치에 대한 불충분한 통제, 직원 사이버 보안 교육 부족, 그리고 미흡한 데이터 백업 및 업무 연속성 계획 등이 포함됩니다.

규제 당국은 이러한 미비점들이 회사의 사이버 공격 취약성을 크게 증가시키고, 사건의 심각성을 가중시켰으며, 규제 대상 활동에 필요한 사이버 보안 기준을 충족하지 못했다고 결론 내렸습니다.

홍콩 증권선물위원회(SFC)는 징계 조치를 결정함에 있어 LFSHK가 독립적인 검토를 의뢰하고 사이버 보안 통제를 강화했으며 조사에 전적으로 협조했고 이전에 징계 전력이 없다는 점을 고려했습니다. 또한, 이번 사건으로 인해 고객에게 금전적 손실이 발생했다는 증거가 없다는 점도 주목했습니다.