[기자노트/염윤경]언제 터질지 모를 해킹, 처벌 능사 아니다

한 증권사 관계자는 최근 잇따르는 해킹 사고를 '지뢰찾기'에 비유했다. 그는 "전방위적으로 대규모 공격이 들어오는 상황에서 해킹 피해는 꼭 지뢰찾기와 같다. 완벽하게 막을 수 있는 방법이 없기 때문에 해킹을 당했다고 무조건 보안 수준이 약했다고 볼 수 없고, 당하지 않았다고 해서 더 잘했다고 볼 수도 없다"고 말했다.

실제로 지뢰는 연달아 터졌다. 대신증권과 한양증권에 이어 국내 최대 증권사인 미래에셋증권까지 뚫렸다. 한양증권은 외부 그룹웨어 솔루션이, 미래에셋증권은 그룹웨어와 모바일웹 로그인 서비스가 공격 통로가 됐다.

금융당국의 대응은 '책임'에 방점이 찍혀 있다. 이억원 금융위원장은 지난 5일 보안 사고는 경영 관리 실패라며 최고경영자(CEO)를 비롯한 경영진 책임까지 엄중히 묻겠다고 밝혔다. 이찬진 금융감독원장도 보안 통제 부실로 사고가 나면 매출액의 3%를 과징금으로 물릴 수 있도록 하는 내용의 법 개정도 지원하겠다고 했다.

외부 접점 전수 점검과 보안 전담조직 신설 등 내용도 있지만 시장에 전달된 메시지는 결국 '사고가 나면 엄벌에 처하겠다'는 것이다. 제재는 사고 이후 책임을 묻는 수단일 뿐 다음 공격을 막아 주지 못한다. 소 잃고 외양간 고치는 격이다.

공격 양상도 달라졌다. 인공지능(AI)을 활용한 공격은 빠르게 지능화·대규모화하고, 취약점을 찾는 과정까지 자동화되고 있다. 이번 연쇄 해킹에도 AI 에이전트가 쓰인 것으로 추정된다. 개별 회사가 보안 예산을 늘려 대응하기 어렵다.

지뢰찾기에서 판을 이기는 방법은 하나다. 이미 열어 본 칸의 정보를 쌓아 다음 칸을 짐작하는 것이다. 금융권 해킹도 다르지 않다. 한 회사가 당한 수법이 업권 전체에 실시간으로 공유되고, 외부 전산업체의 취약점까지 함께 들여다보는 체계가 있어야 다음 지뢰를 피할 수 있다.

금융소비자가 불안한 이유는 누가 징계를 받을지 몰라서가 아니다. 다음은 우리 회사 차례가 아닐까 하는 걱정 때문이다. 소비자가 당국에 듣고 싶은 답은 '누구를 벌할 것인가'가 아니라 '다음 공격을 어떻게 막을 것인가'다.