‘47만건 정보 유출’ 칼 빼든 금융당국...금융사 580곳 전수조사

▲이억원 금융위원장이 5일 서울 금융보안원 여의도 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 발언하고 있다.

금융당국이 은행과 보험사 등 전통 금융회사뿐 아니라 전자금융업체와 온라인투자연계금융업(온투업), 가상자산사업자까지 약 580곳을 점검 대상에 포함하고, 보안관리 실태를 전방위로 들여다보기로 했다. 최근 한 달여간 금융권 37개사에서 47만3000여건의 정보가 유출되고 약 10억원의 자금이 탈취되는 등 사이버 침해사고가 확산한 데 따른 조치다.

5일 금융권에 따르면 금융위원회는 이날 이억원 금융위원장 주재로 금융감독원, 금융보안원, 금융업권 협회 및 관계부처가 참석한 간담회를 열고 금융권 사이버 보안 강화 방안을 논의했다. 인공지능(AI) 기술 확산에 따른 보안 위협에 대응해 금융권 전반의 방어 체계를 재정비하고 내부통제 수준을 끌어올리는 데 논의의 초점을 맞췄다.

이번 점검은 전산 시스템의 기술적 취약성뿐 아니라 금융회사 내부의 보안 의사결정 구조까지 들여다보는 방식으로 진행된다. 금융당국은 최고경영자(CEO)와 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 역할과 책임이 제대로 이행되고 있는지 살펴볼 계획이다. 외부 시스템과 연결되는 접점의 관리 수준, 보안 관련 의사결정 절차 등 내부통제 운영 전반도 점검 범위에 넣었다.

금융회사가 우선 자체 점검을 진행하되 결과가 부실하거나 중대한 보안 취약점이 발견되면 금감원과 금융보안원이 직접 현장 확인에 나선다. 관리대장에 등록된 전산 시스템은 이달 30일까지 점검을 마치고, 누락된 시스템과 내부통제체계에 대한 조사는 연말까지 완료할 예정이다. 점검 과정에서 발견된 취약점은 즉각 보완하도록 유도하되, 전수조사가 끝난 뒤 발생하는 침해사고에는 엄정하게 대응한다는 방침이다.

이억원 금융위원장은 “보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다"고 강조했다. 보안관리 소홀이나 사고 대응 부실이 중대한 수준으로 드러나면 CEO를 비롯한 경영진에게도 관련 법령에 따라 책임을 묻겠다는 설명이다.

금융당국이 전면적인 점검에 나선 배경에는 업권을 가리지 않고 이어진 침해사고가 있다. 지난 9월 30일 첫 사고가 확인된 이후 이달 3일까지 금융회사 37곳에서 총 40건의 침해 신고가 접수됐다. 업권별로는 은행 4곳, 금융투자 5곳, 보험 3곳, 저축은행 5곳, 상호금융 1곳, 여신전문금융 2곳, 온투업 4곳, 전자금융업 10곳, 가상자산사업자 3곳이다. 유출된 정보는 약 47만3천건에 달한다.

지난달 14일 업권별 체크리스트 점검이 마무리된 뒤에도 중소형 증권사와 보험사, 전자금융업체, 온투업체, 가상자산사업자를 중심으로 추가 신고가 이어졌다. 유출된 정보에는 임직원 관련 자료와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐다. 다만 금융당국은 계좌 비밀번호 등 부정 결제로 직결될 수 있는 정보의 유출 사례는 아직 확인되지 않았다고 밝혔다.

자금 피해는 주로 규모가 작은 가상자산거래소와 전자금융업체, 온투업체에서 발생했다. 인터넷에 연결된 상태로 디지털자산을 보관하는 핫월렛과 소비성 포인트, 온투업 예치금 등 사업자가 관리하는 자금이 탈취 대상이었다. 전체 자금 유출 규모는 약 10억원으로 파악됐다. 현재까지 개별 이용자의 자금 손실로 이어진 사례는 확인되지 않았으며, 금융당국은 전자금융거래법과 가상자산이용자보호법 등을 근거로 소비자 보호 조치를 지도·감독하고 있다.

사고가 여러 업권으로 확산하면서 금융권의 공동 대응 체계도 재정비된다. 대형 금융회사들이 활용하는 통합관제시스템(FIRST)의 기능을 개선해 다음 달 시범 운영하고, 내년 1분기에는 전 금융권으로 확대할 계획이다. 전자금융거래법의 적용을 받지 않는 가상자산사업자도 침해사고 발생 즉시 금감원과 금융보안원에 신고하도록 이달 중 별도 가이드라인을 마련한다.

대형 금융회사의 취약점 분석·평가 주기는 연 2회로 단축하고, 평가 대상에 모든 외부 접점을 포함하도록 의무화한다. 금융당국이 긴급하다고 판단하면 정기 점검과 별도로 평가를 요구할 수 있는 권한도 추진한다. 시정명령을 받고도 이를 이행하지 않는 회사에는 지속적인 이행강제금을 부과하는 방안이 검토된다. 보안 인력과 투자 여력이 부족한 중소형 금융회사에는 금융보안원의 AI 기반 방어 서비스와 맞춤형 보안 안내서를 제공하고 단계별 경보체계와 대응 요령도 보급한다.

유출된 개인정보가 금융사기로 이어지는 2차 피해를 막는 작업에도 속도가 붙는다. 금융당국은 다크웹 등을 통한 개인정보 유통을 모니터링하고, 금융권 공동 보이스피싱 정보공유·분석 플랫폼인 ASAP의 탐지 기능을 강화하기로 했다. 범죄계좌를 조기에 찾아내 동결할 수 있도록 AI 기반 '의심 거래 판단지수'를 이달부터 시범 도입한다. 대포계좌와 신종 스캠을 식별하는 공동 탐지 규칙도 추가할 예정이다. 금융회사가 보이스피싱 피해금의 일정 부분을 보상하도록 하는 무과실책임 제도와 관련해서는 통신사기피해환급법 개정안의 입법을 지원한다.

금융당국은 이번 대책을 계기로 금융권 전산보안의 법적 책임 체계도 새롭게 정립할 방침이다. 내년 1분기 중 '디지털금융안전법'을 마련해 기존 금융회사 중심의 보안 규율을 가상자산사업자와 법인보험대리점(GA), 클라우드·플랫폼 사업자 등 외부 전산 인프라 제공업체까지 확대하겠다는 계획이다. 금융회사와 외부 사업자를 아우르는 보안 관리 체계를 구축해 디지털 금융 환경 전반의 안전성을 높이겠다는 구상이다.

송재석 기자 mediasong@ekn.kr