“16개사 뚫리고 정보 10만건 유출”...금융권 해킹, 곳곳이 ‘사각지대’

▲AI 해킹 침해가 확인된 금융회사가 전체 업권을 통틀어 현재까지 총 16곳으로 파악됐다.

은행에서 시작된 금융권 해킹 사태가 저축은행과 캐피탈, 가상자산업계 등으로 번졌다. 금융당국이 현재까지 확인한 침해 사고 발생 금융사는 16곳, 유출된 개인정보는 약 10만건에 달한다. 전 금융권 보안 점검에서도 130개사가 미흡 사항을 보고하면서 금융회사들의 기본적인 보안 관리 체계부터 다시 들여다봐야 한다는 지적이 나온다.

14일 금융위원회와 금융감독원에 따르면 당국은 이날 오후 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 인공지능(AI) 해킹 침해사고 현황과 대응 방안을 점검했다. 신한은행 사고 전후로 침해 사실이 확인된 금융사는 은행·저축은행·상호금융·여신전문금융업·전자금융업·온라인투자연계금융업(온투업)·가상자산사업자 등 7개 업권에 걸쳐 16곳으로 집계됐다.

기존에 알려진 신한은행과 KB국민은행, 하나은행, BNK부산은행을 비롯해 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT), 모우다 등이 사고 관련 금융사에 포함됐다. 여기에 DB저축은행과 산은캐피탈, 브라이트픽스가 추가로 침해 사고를 신고했다. 가상자산업계에서는 고팍스 운영사 스트리미와 프라뱅에서도 사고가 발생한 것으로 파악됐다.

현재까지 확인된 정보 유출 규모는 약 10만건이다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일 주소 등이 포함됐다. 다만 당국은 계좌번호나 카드번호 등 부정 결제에 직접 악용될 우려가 있는 정보의 유출은 아직 확인되지 않았다고 설명했다. 당국은 금융회사들이 침해 여부를 계속 확인하고 있어 사고가 발생한 금융사 수가 더 늘어날 가능성도 열어뒀다.

▲금융권 개인정보 유출조사 결과. (그래픽=연합뉴스)

이번 사태를 계기로 금융권 전반의 보안 관리 실태에도 경고등이 켜졌다. 금융당국이 지난 8일까지 전 금융권 555개사를 대상으로 보안 체크리스트를 점검한 결과, 130개사가 미흡 사항을 보고했다. 특히 전자금융업과 온투업에서 취약점이 상대적으로 많이 확인됐다.

점검 과정에서는 보안 업데이트를 적용하지 않거나 제조사의 기술 지원이 종료된 시스템을 제대로 관리하지 않는 사례가 드러났다. 24시간 실시간 보안관제 체계를 갖추지 못한 곳도 있었다. 외부에 노출된 시스템의 인증·인가 절차가 빠져 있거나 중요 서비스에 다중인증(MFA)을 적용하지 않는 등 외부 공격에 노출될 수 있는 접점 관리도 미흡한 것으로 지적됐다. 해당 금융회사들은 개선 계획을 제출하고 보완 작업을 진행하고 있다.

신진창 금융위 사무처장은 “금융분야는 신뢰와 안전이 중요한 만큼 보안사고 예방을 위한 철저한 보안관리가 필수적"이라며 “그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

▲금융감독원, 금융위원회.

당국은 이번 점검 결과를 토대로 금융회사 보안 체계와 관리 시스템을 전면 재점검할 계획이다. 먼저 외부 네트워크와 연결되는 전산시스템의 접점을 빠짐없이 파악하도록 하고, 시스템별 인증 절차와 접근 권한을 명확히 관리하도록 할 방침이다. 최고경영자(CEO)와 정보보호최고책임자(CISO), 최고정보책임자(CIO) 등의 보고 체계와 보안 사고에 대한 책임 범위도 구체화한다.

금융회사 간 위협정보 공유 체계도 손질한다. 금융회사가 자체적으로 확인한 위협 정보를 통합관제시스템(FIRST)을 통해 공유할 수 있도록 기능을 개선하고, 금융회사가 AI 기반 침해 위협 수준을 파악할 수 있는 정보 체계를 마련한다. AI를 활용해 취약점을 점검하는 인프라 구축도 추진한다.

보안 점검의 빈도와 범위도 확대한다. 대형 금융회사의 취약점 점검·평가 주기를 기존 연 1회에서 연 2회 이상으로 늘리고, 외부와 연결되는 주요 접점을 필수 점검 대상에 포함할 예정이다. 필요할 경우 정기 점검 외에도 수시 점검을 실시할 수 있도록 제도적 근거를 마련한다. 금융보안원은 AI 기반 공동 보안관제 시스템 구축을 검토하고, AI 침해 위협에 대비한 공격 표면 점검과 업종별 맞춤형 보안 안내서 제공 등을 지원할 예정이다. 그동안 관리 사각지대로 지적된 대부업체와 법인보험대리점(GA)에도 AI 보안 위협 대응 요령을 전파하기로 했다.

신 사무처장은 전 금융권의 보안관제 체계와 CEO·이사회의 책임성을 포함해 보안 체계 전반을 철저히 재점검하고, 근본적인 제도 개선으로 이어지도록 하겠다는 방침을 밝혔다. 금융당국은 이와 함께 망 분리 규제 완화 등 관련 제도 개선도 신속하게 추진할 계획이다.

송재석 기자 mediasong@ekn.kr