가상화폐 원화 거래소인 고팍스를 포함해 최근 금융권에서 잇따라 발생한 인공지능(AI)발 해킹 사고로 금융사 16곳에서 약 10만 건의 개인정보가 유출된 것으로 확인됐다. 금융 당국은 추가 피해를 막기 위해 전 금융권의 보안체계를 전수 점검하고 대형 금융회사의 보안 취약점 점검 주기를 연 2회 이상으로 확대하기로 했다.
금융위원회와 금융감독원·금융보안원은 14일 정부서울청사에서 신진창 사무처장 주재로 제2차 긴급 상황대응 회의를 열고 금융권 침해사고 조사 결과와 보안관리 강화 방안을 발표했다.
금융 당국에 따르면 신한은행 침해사고 전후로 해킹 피해가 확인된 금융사는 16곳이다. 이날 새롭게 침해사고가 확인된 곳은 5개사다. DB저축은행과 산은캐피탈, 전자금융업체인 브라이트픽스가 침해사고를 신고했으며 가상화폐 업계에서는 고팍스 운영사인 스트리미와 코인마켓 거래소 프라뱅에서 사고가 발생했다.
산은캐피탈은 이날 홈페이지 공지를 통해 12일 외부의 비정상적인 접근 경로를 확인했으며 고객 848명의 이름과 주민등록번호·생년월일 등 3개 항목이 유출됐다고 밝혔다. DB저축은행은 해킹 시도가 있었으나 보안시스템에 의해 차단됐으며 고객 정보 유출은 없었다고 설명했다. 프라뱅에서는 고객 20명의 연락처·주소 등이 유출됐다.
현재까지 금융권에서 유출된 정보에는 이름과 연락처·주민등록번호·e메일 등이 포함됐다. 계좌 비밀번호와 카드번호 등 직접적인 부정결제에 악용될 우려가 있는 정보의 유출은 확인되지 않았다. 당국은 각 추가 침해 여부를 조사하고 있어 사고 발생 회사가 더 늘어날 가능성도 있다고 설명했다.
금융권 전반의 보안관리 수준에도 허점이 드러났다. 당국이 8일까지 금융사 555곳을 대상으로 보안 체크리스트를 점검한 결과 130곳(23.4%)이 일부 미흡사항을 보고했다. 미흡사항이 발견되지 않은 금융사는 425곳(76.6%)이었다. 상대적으로 보안 역량이 취약한 전자금융업과 온라인투자연계금융업에서 미흡사항이 비교적 많이 확인됐다.
발견된 미흡사항은 주로 최신 보안패치 미적용과 제조사의 기술지원이 종료된 노후 전산시스템 관리 부실 등이었다. 일부 금융사는 24시간 보안관제체계를 갖추지 않았고 외부에서 접속할 수 있는 시스템의 인증 절차가 누락된 사례도 있는 것으로 드러났다. 당국은 해당 금융사에 노후 장비 교체, 보안관제 인력·설비 확충 등 조치를 즉시 시행하도록 지시했다.
금융 당국은 이번 사태를 계기로 금융권 보안관리체계를 전면 개편하기로 했다. 우선 금융사 전산시스템이 외부와 연결되는 모든 접점을 파악하고 인증·접근권한 관리와 내부통제체계를 전수 점검한다. 최고경영자(CEO)와 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보고체계와 책임 범위도 명확히 할 방침이다.
대형 금융사의 보안 취약점 점검 의무도 강화된다. 현재 금융사와 전자금융업자는 연 1회 취약점 점검·평가를 실시해야 한다. 당국은 고객 수가 많은 대형 금융사부터 점검 주기를 연 2회 이상으로 확대하기로 했다. 중요한 외부 접점은 필수 점검 대상에 포함하고 긴급한 위협이 발생하면 수시 점검을 실시할 수 있는 근거도 마련할 계획이다.
보안 투자 여력이 상대적으로 부족한 중소형 금융사에 대해서는 공동 대응체계 구축을 추진한다. 금융보안원이 업권별 협회·중앙회와 함께 AI 기반 공동 보안관제시스템을 구축하는 방안을 검토할 예정이다. 전자금융거래법상 보안관리 대상에서 제외돼 있는 대부업체와 법인보험대리점(GA)에 대해서도 관리 강화 방안을 검토한다.
신 사무처장은 “AI 공격은 AI로 방어하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도 개선도 속도감 있게 추진하겠다”고 강조했다. ▷본지 10월 12일자 1·4면 참조