[서울=뉴스핌] 김양섭 기자 = 신한은행 해킹사고 전후로 침해사고가 확인된 금융회사가 은행·저축은행·가상자산사업자 등 전 업권에 걸쳐 16곳으로 집계됐다. 지금까지 파악된 개인정보 유출 규모는 약 10만건이다.

금융당국이 전 금융권 555개사를 긴급 점검한 결과 130개사에서 보안패치 미적용, 24시간 관제체계 미구축 같은 기본적인 보안 미흡사항이 나왔다.

금융당국은 금융회사 보안체계 전수점검, 취약점 점검 주기 확대, 중소형 금융사 지원 등 제도개선에 속도를 낼 방침이다. 보안 권고가 현장에서 실제로 지켜지도록 최고경영자(CEO) 책임을 강화하고 제재 실효성을 높이는 방안도 함께 추진한다.

◆ 은행 4곳에 저축銀·가상자산사업자까지…16곳 침해·10만건 유출

금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 '제2차 긴급 상황대응 회의'를 열었다. 이 자리에서 금융권 침해사고 조사 경과와 체크리스트 점검 결과를 공개했다. 회의에는 금융감독원·금융보안원과 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원(KISA) 등 관계기관과 보안 전문가들이 참석했다.

금융위에 따르면 신한은행 침해사고 전후로 사고가 확인된 금융회사는 모두 16개사다. 은행권에서는 신한·국민·부산·하나은행 4곳이 포함됐다. 저축은행은 예가람·웰컴·DB·OK저축은행 4곳, 여신전문금융업권은 현대캐피탈·산은캐피탈 2곳이다. 이 밖에 온라인투자연계금융업(온투업)체 PFCT·모우다, 전자금융업자 브라이트픽스, 가상자산사업자 스트리미(고팍스 운영사)·프라뱅, 상호금융권 새마을금고중앙회에서도 사고가 확인됐다.

금융회사들은 당국이 공유한 공격자 IP 등을 바탕으로 침해 여부를 계속 확인하고 있다. 이에 따라 피해 회사는 더 늘어날 수 있다.

지금까지 확인된 유출 정보는 약 10만건으로 성명, 연락처, 주민등록번호, 이메일 등이다. 계좌 비밀번호나 카드번호처럼 직접적인 부정결제로 이어질 수 있는 정보가 유출된 사례는 확인되지 않았다.

금융당국은 금감원·금보원 현장 조사를 토대로 침해 경로와 공격 방식을 파악하고 있다. 각 사고 사이의 연관성, 같은 주체의 소행인지 여부, AI 해킹 가능성 등도 정밀 조사 중이다.

사고가 신고된 금융회사에는 공격 IP 차단, 보안패치, 관련 서비스 중단 등으로 추가 피해를 막게 했다. 고객에게 유출 사실과 대응 요령도 안내하도록 했다. 금융 외 부문으로 피해가 번지지 않도록 하고 공격자 검거 수사가 원활히 이뤄지도록 과기부·행안부·개보위·경찰 등과 공조한다는 방침이다.

◆ 555개사 중 130곳 '미흡'…보안패치 미적용·24시간 관제 공백

전 금융권 555개사를 대상으로 지난 8일까지 12개 항목의 체크리스트 점검을 진행했다. 그 결과 130개사가 미흡사항이 있다고 보고했고, 나머지 425개사는 '적정'으로 제출했다. 전체의 23%가 넘는 금융회사에서 보안 허점이 드러난 셈이다.

미흡사항이 나온 회사는 대부분 보안패치·관제체계 관련 1~2개 항목에서 보완이 필요했다. 업권별로는 상대적으로 보안 역량이 약한 전자금융업과 온투업에서 미흡사항이 많았다.

주요 미흡사항은 ▲최신 보안패치 미적용 ▲제조사 기술지원이 끝난(EOS) 시스템 관리 미흡 ▲실시간(24시간) 관제체계 미구축 ▲공격표면 관리 미흡 등이었다. 공격표면 관리 미흡에는 대외 시스템의 인증·인가 누락, 중요 서비스의 다중인증(MFA) 미도입이 포함됐다.

해당 금융회사들은 보완 계획을 보고하고 바로 조치에 들어갔다. 보안패치 적용과 노후 장비 교체, 보안관제 인력·설비 확충, 인증 범위 확대와 접근통제 강화 등이다. 당국은 공격자로 확인된 IP부터 즉시 차단하게 했고, 긴급한 사항부터 보완하도록 지도·감독하고 있다.

◆ 보안체계 전수점검·취약점 점검 연 2회 이상으로…중소사엔 AI 공동관제

이날 회의에서는 이번 점검에서 드러난 취약 요인을 구조적으로 막기 위한 제도개선 과제도 논의됐다.

금융당국은 금융회사 보안체계와 관리시스템 전반을 전수점검할 계획이다. 이번 체크리스트는 사고 특성을 감안해 시급한 12개 항목만 다뤘다. 이번에는 AI 해킹 같은 새로운 위협에 대비해 공격표면 관리, 인증체계, 내부통제까지 보안관리 전반을 들여다보겠다는 취지다.

당국은 금융회사가 전산시스템이 외부와 연결되는 접점을 모두 목록화하고, 외부 접점의 인증·접근통제 권한을 엄격히 관리하도록 지도할 방침이다. CEO와 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보고체계와 책임 범위도 명확히 하도록 한다. 구체적인 점검 범위와 일정은 금융권과 협의해 확정할 방침이다.

해킹 위협 정보를 금융권이 함께 나누는 체계도 손본다. 지금은 금감원·금보원이 파악한 위협 정보가 통합관제시스템(FIRST) 등을 통해 전 금융권에 전파된다. 하지만 금융회사가 자체 관제 과정에서 파악한 정보는 공유되지 않는다.

당국은 AI 해킹 대응은 위협을 빨리 알아채고 함께 막는 '속도가 생명'이라고 보고 있다. 이에 따라 금융회사 자체 위협정보도 공유할 수 있도록 시스템을 개선하고, 침해 위협 수준을 직관적으로 확인할 수 있는 'AI 위협수준 정보체계'를 마련할 계획이다. 공격자 관점에서 외부 노출 자산과 내부 소스코드, 모바일 앱의 취약점을 찾아내는 AI 기반 취약점 점검 인프라 구축도 추진한다.

취약점 점검·평가 주기를 늘리는 방안도 추진된다. 현행 전자금융거래법과 전자금융감독규정은 금융회사·전자금융업자에 연 1회(외부 홈페이지는 연 2회) 취약점 점검·평가를 의무화하고 있다.

그러나 빠르게 진화하는 AI 보안위협에 비춰 더 정교한 점검이 필요하다는 지적이 나왔다. 당국은 공격표면이 넓고 고객이 많은 대형 금융회사부터 점검 주기를 연 2회 이상으로 늘리고, 중요한 외부 접점을 필수 점검 대상에 넣는 방안을 추진한다. 긴급할 때 수시로 점검할 수 있는 근거 마련도 검토한다.

AI 보안위협에 대응할 여력이 부족한 중소형 금융회사를 위한 지원책도 마련하기로 했다. 금융보안원은 업권별 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축을 검토한다. AI 침해 위협에 대비한 공격표면 점검(블랙박스 테스트)과 중소형사 맞춤형 보안안내서 마련도 추진한다. 대부업, 법인보험대리점(GA)처럼 전자금융거래법 적용 대상에서 빠져 있어 그동안 관리가 어려웠던 부문에도 AI 보안위협 대응 요령을 신속히 전파하는 등 보안 강화 방안을 검토할 예정이다.

◆ "기본 안 지켜져 뼈아파"…"AI 공격은 AI로 방어"

앞서 금융위와 금감원·금보원은 신한은행·국민은행 등 주요 금융회사 해킹사고 직후 현장 조사 인력을 보냈다. 전 금융권에는 공격자 IP를 공유하고 체크리스트를 배포했다. 지난 2일에는 사무처장 주재 긴급 상황대응 회의를, 4일에는 금융위원장 주재 전 금융권 긴급점검 회의를 열고 엄중한 대응을 주문했다.

당국은 보안점검 권고가 현장에서 실제로 이행되도록 CEO 책임을 강화하고 제재 실효성을 높이는 방안도 서둘러 마련할 계획이다.

신진창 사무처장은 "금융분야는 그 무엇보다 신뢰와 안전이 중요한 만큼 보안사고 예방을 위한 철저한 보안관리가 필수적"이라고 말했다. 이어 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

그는 또 "이번 사고를 계기로 금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것"이라고 했다. 이어 "AI 보안위협 확대에 대비해 'AI공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 강조했다. 

ssup825@newspim.com