박상원 금융보안원 원장이 12일 서울 여의도 콘래드호텔에서 열린 '금융정보보호 콘퍼런스 FISCON 2026' 개막식에 참석하고 있다./뉴스1


"우리도 비상 체제로 들어갔다. 금융보안원(금보원) 다음은 우리 차례가 아닐까 긴장하고 있다. 해커는 가장 높은 곳을 공격해야 실력과 이력을 인정받는다. 그래서 감독·보안기관도 표적이 되기 쉽다."(금융감독원 고위 관계자)

금융회사들의 보안 점검을 맡아온 금보원이 해커에 뚫리자 정작 감독 기구의 보안이 허술하게 관리되는 게 아니냐는 지적이 제기된다. 국내 당국도 미국 등 주요국의 감독 기구처럼 해킹 피해에 대비한 시스템 정비가 필요하다는 의견도 나온다.

감독기관이 해커에게 뚫리는 경험은 미국이 먼저 겪었다. 미국 통화감독청(OCC)은 2023년부터 1년 넘게 이메일을 해킹당해 감독 정보가 담긴 메일 약 15만통이 노출됐다. 연방준비제도·연방예금보험공사·OCC는 올해 7월 공동성명에서 '덜 모으기'를 택했다. 망 구성도나 모의해킹 결과 같은 민감 자료는 현장 열람이나 요약본으로 대신해 수집을 줄이고, 감독기관에서 정보가 새면 72시간 안에 은행에 알리기로 했다.

금보원에는 금융사 약 3000곳의 개인정보 보호 실태와 관련한 정보가 집중돼 있다. 금융사들은 접근권한 관리, 개인정보 암호화, 침입 탐지·차단 등 자체 점검한 보호 실태를 금보원에 낸다. 회원이 아니어도 예외는 없다. 금보원 회원사는 올해 5월 기준 220곳이지만 상시평가 대상은 3000여곳에 달한다. 이들 상시평가 대상 기업들은 금보원 회원사가 아니어도 자사의 정보를 제출해야 한다.

금보원은 이달 펴낸 '2027 디지털 금융보안 인사이트 리포트'에서 금융사들에 엄격한 접근통제와 다중인증을 권고했다. 내년부터는 상시평가에 모의해킹 항목을 새로 넣어 금융사 점수에 비중 있게 반영할 예정이었다. 하지만 정작 금보원이 인증 체계를 우회한 공격에 뚫렸다.

박상원 금보원장은 12일 서울 여의도에서 열린 금융정보보호 콘퍼런스(FISCON)에서 "현재 추가 유출 여부와 사고 원인을 철저히 규명하고 있다. 우리 원의 전 시스템을 전수점검하고 근본적인 재발 방지 대책을 마련하겠다"고 말했다.

한편 금융위가 5일 내놓은 보안체계 혁신방안엔 580여개 금융사 전수점검, 대형사 취약점 분석·평가 연 2회 의무화, 이행강제금 도입 추진 등이 담겼다. 금보원엔 중소 금융사 외부접점 상시 탐색, 다크웹 감시 같은 역할이 더해졌다. 금보원은 금융위의 감독·검사를 받지만, 금융사들의 회비로 운영되는 사단법인이기 때문에 공공기관 경영평가를 받지 않는다.