"금융권 해킹, 뱅크런 번지면 시스템 위기"

금융권 해킹이 초래하는 위험은 유출된 정보의 양만으로 가늠할 수 없다. 공격 소식에 예금자 신뢰가 흔들리고 예금 인출이 다른 은행으로 번지면 개별 침해사고가 금융 시스템 위기로 커질 수 있다. 대럴 더피 미국 스탠퍼드대 경영대학원 교수는 위기의 분기점으로 '뱅크런의 전염'을 꼽으며 과징금 부과와 감독 강화, 실제 공격을 가정한 모의훈련을 대응책으로 제시했다.

12일 금융보안원에 따르면 금보원은 지난 9일 오후 3시쯤 금융회사 평가를 지원하는 상시평가 시스템에 외부의 비정상적인 접근이 있었던 사실을 확인하고 접속을 차단했다. 행정서식 약 200건과 서식에 담긴 이름·생년월일 등 개인정보 300여건, 시스템 이용자 정보 350여건이 유출됐다. 금보원은 금융회사 시스템 구성도와 주민등록번호, 개인신용정보는 유출되지 않았다고 밝혔다.

앞서 금융위원회는 지난 5일 9월30일부터 11월3일까지 금융회사 37곳에서 침해사고 40건이 신고됐고 정보 약 47만3000건이 유출됐다고 밝혔다. 일부 전자금융업자와 가상자산사업자 등에서는 회사가 관리하던 자금 약 10억원이 탈취됐다. 금융위는 개별 이용자의 직접적인 자금 손실은 확인되지 않았다고 설명했다.

예금 인출이 얼마나 빠르게 번질 수 있는지는 2023년 3월 미국 실리콘밸리은행(SVB) 사태가 보여줬다. SVB가 보유 채권을 손실을 보고 매각했다고 발표한 다음 날인 3월9일 하루에만 예금 420억달러(약 55조원)가 빠져나갔다. 캘리포니아주 금융보호혁신국은 이튿날인 3월10일 SVB를 폐쇄했다. 미국 연방준비제도(Fed)가 같은 해 4월 낸 보고서에 따르면 SVB 경영진은 폐쇄 당일 1000억달러가 추가로 인출될 것으로 예상했다. 이틀 뒤인 3월12일에는 뉴욕의 시그니처은행도 문을 닫았다. SVB 사태는 해킹이 아니라 금리 상승에 따른 자산 손실에서 시작됐지만, 모바일로 예금을 옮기는 환경에서는 불안이 퍼지는 속도만큼 인출도 빨라진다는 사실을 드러냈다.

더피 교수는 시대와의 서면 인터뷰에서 금융권 해킹이 시스템 위기로 번지는 기준으로 '뱅크런의 전염'을 꼽았다. 그는 "핵심적인 구분 기준은 공격이 시스템적으로 위험한 뱅크런을 일으키느냐다. 소비자와 기업이 예금을 잃거나 예금에 접근하지 못하게 되는 것은 심각한 우려 사항이지만 뱅크런 전염이 없다면 통상 시스템 위기에 이를 만큼 크지는 않다"고 설명했다.

뱅크런은 예금자들이 은행에 돈을 맡겨두면 돌려받지 못할 수 있다는 불안감에 한꺼번에 예금을 인출하는 현상이다. 한 은행에서 시작된 불안이 다른 은행으로 번지면 건실한 금융회사까지 자금 부족에 빠질 수 있다. 더피 교수는 2019년 조슈아 영거 당시 JP모건체이스 매니징디렉터와 함께 발표한 논문 '사이버 런'에서 한 은행이 공격받았다는 소식만으로 다른 은행의 대형 예금자까지 돈을 인출할 수 있다고 분석했다. 은행이 버티더라도 금융회사 사이의 지급결제가 지연되면 기업과 가계의 자금 흐름이 막혀 실물경제까지 타격을 받을 수 있다고 경고했다.

이런 위기가 닥치면 한국은행(한은)은 금융 시스템에 필요한 돈이 돌도록 하고 결제망을 유지하는 역할을 맡는다. 더피 교수는 "한국은행은 한국의 거액결제시스템인 한은금융망(BOK-Wire+)을 운영한다. 따라서 한국은행도 그 영역에서 위협 방어와 사고 복구를 포함한 사이버 위험 책임을 진다"고 강조했다.

한은금융망은 은행 등 금융기관이 서로 주고받을 거액 자금을 최종 결제하는 시스템이다. 국내 금융기관 대부분이 참가하고 있어 이곳의 운영이 중단되면 금융회사 사이의 자금 거래에도 차질이 생길 수 있다.

한은 관계자는 특정 금융회사의 결제가 지연되거나 예금 인출이 급증해 유동성이 부족해지면 공개시장운영과 대출제도로 자금을 공급할 수 있다고 설명했다. 한은은 사이버 공격이나 화재로 결제가 멈추는 상황에 대비해 소규모 장애부터 전면 장애까지 상정한 비상 대응 방안을 마련하고 주기적으로 훈련하고 있다. 지난 8월에는 참가기관과 연계한 대규모 훈련을 실시해 주전산센터를 백업센터로 전환하거나 우회 수단으로 결제하는 절차까지 점검했다.

이번 연쇄 침해사고에서는 중소형 금융회사의 피해가 잇따랐다. 더피 교수는 "작은 금융회사는 거액결제시스템 같은 시스템적으로 중요한 시장 인프라의 더 약한 위협 지점이 될 수 있다"고 지적했다.

더피 교수는 인공지능(AI)이 해킹 위험을 키울 가능성도 거론했다. 관련 분야의 전문가는 아니라고 전제한 그는 "미국 최대 은행들의 전문가들은 AI 때문에 공격을 막아 내기가 훨씬 더 어려워졌다고 내게 말한다"고 전했다. 그는 대응책으로 과징금 부과와 감독 강화, 레드팀 훈련을 포함한 모의훈련을 모두 우선순위에 올렸다. 레드팀 훈련은 외부 공격자 역할을 맡은 전문가가 실제 해킹을 시도해 금융회사의 보안 취약점을 찾아내는 방식이다. 그는 "과징금을 산정하는 일은 어렵지 않지만 감독 체계와 현실적인 테스트를 갖추는 데는 시간이 걸린다"고 지적했다.