AI 해킹 현실화…금감원, 금융사 CISO 소집

금융감독원이 인공지능(AI)을 활용한 사이버 공격이 현실화하고 있다며 금융회사 최고정보보호책임자(CISO)를 소집해 전사적 대응 체계 강화를 주문했다. 기본적인 IT 통제를 소홀히 한 채 형식적인 자율 시정에 그쳐 대규모 사고가 발생할 경우 엄중 조치하겠다는 방침도 내놨다.

금감원은 9일 서울 여의도 본원에서 이종오 디지털·IT 부문 부원장보 주재로 '전 금융권 정보보호 최고책임자(CISO) 간담회'를 개최했다. 간담회에는 은행·금융투자·보험·여신전문금융·저축은행·핀테크 등 업권별 주요 금융회사 16곳의 CISO와 각 협회 IT 담당 임원 등이 참석했다.

금감원은 최근 AI 기반 사이버 공격이 빠르게 고도화하고 있다고 진단했다. 미국 국립표준기술연구소(NIST)의 신규 취약점 공개 건수는 올해 상반기 3만5872건으로 전년 동기보다 51.6% 늘었다. 한국인터넷진흥원(KISA) 보안 공지도 같은 기간 136건에서 199건으로 46.3% 증가했다.

AI를 해킹에 악용하면 취약점을 빠르게 찾는 데 그치지 않고 여러 금융회사를 상대로 자동화된 대량 공격도 가능하다. 실제로 올해 초에는 자연어 명령을 받아 100개 이상의 보안 도구를 자동 실행하고 침투 계획과 공격 코드를 만드는 AI 기반 해킹 도구가 사용됐다. 생성형 AI를 활용해 탐지 패턴을 피하도록 공격 코드를 반복 재작성하는 악성코드나, 공격 과정의 상당 부분을 AI가 자율 수행한 사례도 나타났다.

금감원은 금융회사들이 경영진 중심의 전사적 IT 위험 관리 체계를 갖추고 모든 IT 자산을 식별·관리해야 한다고 강조했다. 시스템·프로그램뿐 아니라 클라우드와 오픈소스까지 관리 대상에 포함하고, 자산 중요도와 위험 노출도를 고려해 보안 패치 우선순위를 정하도록 했다. 취약점 정보 획득부터 패치 테스트와 적용까지의 절차도 내재화·자동화할 필요가 있다고 봤다.

침해사고가 발생했을 때를 대비해 서비스 복구 체계와 소비자 보호 방안도 마련해야 한다. 대체 수단 안내와 피해 사실 통지·보상, 외부 전문기관과의 협력 체계 등을 사전에 갖추라는 주문이다.

금감원은 AI 방어 체계를 고도화하는 것만큼 기본 통제를 지키는 것이 중요하다고 강조했다. 최근 주요 IT 사고 상당수가 보안 패치 미적용, 퇴직자 계정 방치, 이용자 정보 암호화 미흡, 프로그램 변경 테스트 부족 등 기본 통제 미흡에서 비롯됐다는 판단이다.

이에 따라 금감원은 지난 7월부터 전 금융권을 대상으로 IT 기본 통제 '자율 시정'을 진행하고 있다. 전자금융거래법상 안전성 확보 의무가 적용되는 금융회사가 대상이며 오는 11월까지 자체 점검과 보완을 실시한다. 점검 대상은 정보처리시스템 보호, 전산자료 보호, 해킹 방지, 공개용 웹서버 관리, 프로그램 변경 통제 등 5개 부문이다.

금감원은 향후 검사에서 IT 기본 통제 운영 실태를 중점 점검하고, 미흡한 고위험 회사에는 현장 점검을 실시할 계획이다. 자율 시정을 통해 미흡 사항을 충실히 보완한 회사에는 경미한 사고 발생 시 제재 감면을 적극 검토한다. 반면 형식적·소극적 시정으로 기본 통제 미흡이 원인이 돼 대규모 IT·침해사고가 발생하면 최대한 엄중 조치할 방침이다.

AI를 보안에 활용하기 위한 망분리 규제 완화도 확대한다. 6월부터 10개사를 대상으로 1차 테스트를 진행 중이며, 2차 테스트에는 금융회사와 전자금융업자 75곳이 신청했다. 금감원은 이 가운데 15곳을 선정해 10월부터 테스트를 진행할 예정이다.

이종오 부원장보는 "프런티어 AI 기반의 보안 위협은 막연한 우려가 아니라 금융회사의 생존과 직결되는 현실의 문제"라며 "대표이사를 비롯한 경영진의 진두지휘 아래 조직·인력·예산을 확충해 새로운 기술로 무장한 사이버 위협에 철저히 대비해달라"고 당부했다.