이억원 금융위원장이 5일 서울 여의도 금융보안원 교육센터에서 열린 AI 시대 보안체계 혁신을 위한 금융권 간담회에서 모두발언을 하고 있다./뉴시스


이억원 금융위원장이 잇따른 금융권 해킹 사고와 관련해 "보안관리의 부실은 단순한 기술적 실패를 넘어 경영관리의 실패로 이어질 수 있다"며 최고경영자(CEO)의 책임을 강조했다. 보안 취약점을 알고도 방치하거나 형식적인 점검으로 사고를 키운 금융회사에 대해서는 경영진의 책임까지 엄정하게 묻겠다고 경고했다.

이 위원장은 5일 금융감독원·금융보안원과 전 금융권 협회장들이 참석한 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제"라며 이같이 밝혔다.

금융위에 따르면 지난 9월30일부터 11월3일까지 금융회사 37곳에서 총 40건의 침해사고가 신고됐다. 유출된 정보는 약 47만3000건으로 고객 성명과 주민등록번호, 계좌번호 등이 포함됐다. 일부 전자금융업자와 가상자산사업자에서는 약 10억원의 자금탈취 사고도 발생했다. 부정결제 우려가 있는 정보유출이나 개별 이용자의 직접적인 자금손실은 현재까지 확인되지 않았다.

이 위원장은 특히 금융당국의 반복된 점검 요구에도 사고가 이어진 점을 질타했다. 그는 "같은 계열그룹 내에서 사고가 발생했음에도 충분한 대비 없이 추가 사고가 발생한 사례도 있었다"며 "이미 드러난 위험조차 제대로 관리하지 못해 같은 사고를 반복하는 것은 더 이상 용납될 수 없다"고 말했다.

최근 해킹은 핵심 전산시스템보다 보안관리가 상대적으로 소홀한 주변부 시스템을 집중 공략하는 양상을 보였다. 직원용 웹·모바일 서비스와 외부 연결 시스템에서 권한관리 부실, 인증 우회 등의 취약점이 드러났다.

금융당국은 연말까지 금융회사와 전자금융업자, 가상자산사업자 등 약 580개사를 대상으로 보안 전수점검에 나선다. 홈페이지뿐 아니라 직원용 업무시스템, 외부 연계망, 개발·테스트 시스템 등 모든 정보기술(IT) 자산의 외부접점과 내부통제 실태를 확인한다. 점검이 부실하거나 중대한 취약점이 발견되면 금감원과 금융보안원이 현장점검을 실시한다.

외부기관의 보안 취약점 분석·평가도 대형 금융회사부터 연 1회에서 2회 이상으로 확대한다. 2028년부터는 중소형사를 포함한 전 금융권에 적용한다. 금융회사 간 해킹 정보 공유체계도 다음 달 시범 운영한다.

소비자 보호를 위한 대응도 강화한다. 다크웹과 텔레그램에서 유출 개인정보의 불법 유통을 감시하고 AI를 활용한 보이스피싱 탐지체계를 고도화한다. 금융회사가 보이스피싱 피해액의 일정 부분을 배상하는 무과실책임 법제화도 추진한다.

AI 기반 보안기술 활용을 위해 망분리 규제 전면해제 태스크포스(TF)를 가동하고, 가상자산사업자와 보험대리점 등으로 보안규율을 확대하는 '디지털금융 안전법' 제정도 추진한다.

이 위원장은 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 "이제는 말이 아니라 행동으로 보여주어야 한다"고 강조했다.