유출 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐지만 계좌 비밀번호나 카드번호처럼 직접적인 부정결제 우려가 큰 정보는 확인되지 않았다고 금융위원회는 밝혔다.
금융위원회와 금융감독원, 금융보안원은 14일 정부서울청사에서 제2차 긴급 상황대응 회의를 열고 금융권 침해사고 조사 경과와 전 금융권 보안점검 결과를 공개했다. 사고가 확인된 곳은 신한·KB국민·BNK부산·하나은행, 예가람·웰컴·DB·OK저축은행, 현대캐피탈·산은캐피탈, PFCT·모우다, 브라이트픽스, 스트리미·프라뱅, 새마을금고중앙회 등 16개사다.
사고 금융회사 수는 더 늘어날 가능성도 있다. 금융회사들이 당국이 공유한 공격자 인터넷주소(IP) 등을 바탕으로 자체 점검을 계속하고 있기 때문이다. 당국은 각 사고가 같은 공격주체와 연결돼 있는지, 침해경로와 공격방식이 무엇인지, AI를 활용한 해킹 가능성이 있는지 등을 조사하고 있다. 따라서 현재 단계에서 이번 사고 전체를 하나의 ‘AI 해킹 사건’으로 단정하기는 이르다.
당국이 전 금융권 555개사를 대상으로 실시한 12개 항목 체크리스트 점검에서도 취약점이 적지 않게 드러났다. 425개사는 적정하다고 제출했지만 130개사는 일부 미흡사항이 있다고 보고했다. 대부분은 보안패치와 관제체계 관련 1~2개 항목에서 보완이 필요한 것으로 파악됐으며, 상대적으로 보안역량이 약한 전자금융업과 온라인투자연계금융업에서 미흡사례가 비교적 많이 확인됐다.
주요 문제는 기본적인 보안관리에서 나왔다. 최신 보안패치 미적용, 제조사 기술지원이 끝난 시스템 관리 미흡, 24시간 실시간 관제체계 미구축, 외부와 연결된 시스템의 인증·인가 누락, 중요 서비스에 대한 다중인증(MFA) 미도입 등이 대표적이다. 금융당국은 해당 금융회사들에 보안패치와 노후장비 교체, 보안관제 인력·설비 확충, 접근통제 강화 등을 즉시 이행하도록 지도하고 있다.
금융당국은 이번 사고를 계기로 일회성 점검보다 금융권 보안관리 구조 자체를 바꾸는 데 초점을 맞추기로 했다. 전산시스템이 외부와 연결되는 모든 접점을 목록화하고, 인증과 접근통제 권한을 명확히 설정하는 한편 CEO·CISO·CIO의 보고체계와 책임 범위도 구체화한다. 보안점검 권고가 실제 현장에서 이행되도록 최고경영진과 이사회의 책임성을 높이고 제재의 실효성을 강화하는 방안도 검토한다.
위협정보 공유체계도 손본다. 현재 금융감독원과 금융보안원이 확보한 해킹위협 정보는 통합관제시스템을 통해 금융권에 공유되지만, 개별 금융회사가 자체 관제과정에서 발견한 정보는 충분히 공동 활용되지 못하고 있다. 당국은 금융회사가 자체 파악한 공격정보도 공유할 수 있도록 시스템을 개선하고, AI 기반 위협수준 정보체계와 취약점 점검 인프라를 구축할 계획이다.
상시 점검 주기도 강화된다. 현행 제도상 금융회사와 전자금융업자는 연 1회, 외부 홈페이지는 연 2회 취약점 점검·평가를 해야 한다. 금융당국은 외부접점이 많고 고객 규모가 큰 대형 금융회사부터 점검 주기를 연 2회 이상으로 확대하고, 중요 외부접점을 필수 점검대상에 포함하는 방안을 추진한다. 긴급 상황에서는 수시점검이 가능하도록 근거를 마련하는 방안도 검토한다.
이번 사고는 금융권 디지털 전환이 빨라질수록 보안관리의 기본이 더 중요해진다는 점을 보여준다. AI 기술이 공격과 방어 양쪽에서 빠르게 활용되는 상황에서 취약한 외부접점 하나가 전체 시스템의 위험으로 번질 수 있기 때문이다. 금융당국이 앞으로 발표할 전수점검 범위와 일정, 사고별 침해경로 조사 결과, 책임체계 개편이 실제 현장 보안 수준을 얼마나 끌어올릴지가 다음 관전 포인트다.

















































댓글
(0)