금융권 정보 47.3만건 유출, 금융권 580개사 전수점검

지난 9월 말 이후 금융회사 37곳에서 40건의 해킹 등 침해사고가 발생해 약 47만3000건의 정보가 유출된 것으로 확인됐다. 금융보안원이 매일 탐지하는 침해공격 의심 트래픽도 10만~15만건에 달한다. 금융당국은 잇따른 사고가 보안관리가 허술한 주변부 시스템에 집중됐다고 보고 금융권 약 580개사를 대상으로 연말까지 보안 전수점검에 나선다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원과 전 금융권 협회장들이 참석한 가운데 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 이 같은 내용의 보안체계 혁신방안을 발표했다.

금융위에 따르면 지난 9월30일부터 11월3일까지 신고된 침해사고는 37개사에서 총 40건이다. 업권별로는 전자금융업자가 10곳으로 가장 많았고, 금융투자회사와 저축은행이 각각 5곳, 은행과 온라인투자연계금융업자가 각각 4곳이었다. 보험사와 가상자산사업자는 각각 3곳, 여신전문금융회사 2곳, 상호금융회사 1곳에서도 사고가 발생했다.

유출된 정보는 약 47만3000건으로 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐다. 계좌 비밀번호 등 부정결제 우려가 있는 정보의 유출은 현재까지 확인되지 않았다.

일부 소규모 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 약 10억원의 자금탈취 사고도 신고됐다. 주로 가상자산 핫월렛과 소비성 포인트, 고객자금을 통합 관리하는 계정 등에서 자금이 빠져나간 것으로 파악됐다. 개별 이용자의 직접적인 자금손실은 아직 현실화되지 않았다는 게 금융당국의 설명이다.

앞서 금융당국이 지난달 14일 전 금융권을 대상으로 체크리스트 점검을 마무리했지만 이후에도 침해사고는 이어졌다. 특히 중소형 증권·보험사와 전자금융업자 등에서 사고가 집중됐다.

최근 해킹은 보안관리가 상대적으로 철저한 핵심 전산시스템보다 인력 부족 등으로 관리가 소홀한 주변부 시스템을 집중 공략하는 양상을 보였다. 영업·상담 등 내부 직원이 사용하는 웹·모바일 서비스의 외부접점이 대표적이다. 권한관리 부실과 이중인증 우회, API 관리 미흡 등도 주요 취약점으로 꼽혔다.

AI 활용이 보편화하면서 금융·공공·IT 등 다양한 분야에서 공격 시도가 광범위하게 발생하고 고위험 취약점 발견도 늘고 있다. 금융보안원은 하루 평균 10만~15만건의 전 금융권 대상 침해공격 의심 트래픽을 탐지해 대응하고 있다.

이억원 금융위원장은 "같은 계열그룹 내에서 사고가 발생했음에도 충분한 대비 없이 추가 사고가 발생한 사례도 있었다"며 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제"라고 강조했다.

금융당국은 은행·증권·보험사와 전자금융업자, 가상자산사업자 등 약 580개사를 대상으로 모든 정보기술(IT) 자산의 외부접점과 내부통제 운영실태를 점검한다.

점검 대상에는 홈페이지 등 대고객 서비스뿐 아니라 직원관리·내부업무·제휴업무 시스템과 응용프로그램 인터페이스(API), 개발·테스트용 시스템 등이 포함된다. 최고경영자(CEO)와 정보보호최고책임자(CISO)의 역할, 보안 관련 의사결정 체계도 살핀다.

금융회사는 우선 자체점검을 실시하고 중요한 취약점이 발견되면 즉시 외부접근을 차단하거나 서비스를 중단해야 한다. 점검이 부실하거나 중대한 취약점이 확인되면 금감원과 금융보안원이 직접 현장점검에 나선다.

관리대장에 등록된 외부접점 점검은 이달 말까지, 미등록 시스템과 내부통제체계 점검은 다음 달 말까지 마무리한다. 내년 1분기에는 점검 결과를 바탕으로 보안 내부통제 가이드라인을 마련할 계획이다.

정기적인 보안 취약점 평가도 강화한다. 현재 연 1회 이상인 외부기관 취약점 분석·평가를 대형 금융회사부터 연 2회 이상으로 확대하고, 2028년부터 중소형사를 포함한 전 금융권으로 적용 범위를 넓힌다. 중요한 취약점을 장기간 방치한 금융회사에 시정명령을 내리고 미이행 시 이행강제금을 부과하는 법 개정도 추진한다.

금융회사 간 해킹 정보 공유도 확대된다. 대형 금융회사가 탐지한 공격자 IP와 악성코드, 해킹 수법 등을 금감원 통합관제시스템을 통해 전 금융권에 공유하는 체계를 다음 달 시범 운영한다. 내년 1분기부터 전면 운영할 계획이다.

소비자 2차 피해를 막기 위한 조치도 추진한다. 다크웹과 텔레그램 등에서 유출된 개인정보의 불법 유통을 상시 감시하고 보이스피싱 의심거래를 인공지능(AI)으로 분석하는 '피싱지수'를 이달부터 시범 도입한다. 금융회사가 보이스피싱 피해액의 일정 부분을 배상하도록 하는 무과실책임 법제화도 추진한다.

기존 망분리 규제를 전면 재검토하는 작업도 시작한다. 금융당국은 '망분리 규제 전면해제 태스크포스(TF)'를 가동해 AI 기반 보안기술 활용과 제로트러스트 등 대체 보안수단을 논의할 방침이다.

가상자산사업자와 보험대리점(GA) 등 전자금융거래법의 보안규율이 적용되지 않는 업종까지 관리 범위를 확대하는 '디지털금융 안전법'도 내년 1분기 중 법안 마련을 추진한다. 클라우드 사업자와 플랫폼 등 금융회사와 연결된 외부 사업자에 대한 보안규율도 검토한다.

이억원 금융위원장은 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 "하루가 다르게 진화하는 보안위협에 맞서 금융의 생명과도 같은 국민의 정보와 재산을 지켜내는데 그 어떠한 인적·물적 투자도 아껴서는 안 된다"고 강조했다.