자료=게티이미지뱅크
자료=게티이미지뱅크
“해커들은 오래전부터 자동화 도구를 써왔습니다. 공격받은 흔적만 보고 인공지능(AI)이 한 것인지 기존 해킹 도구인지 가려내긴 어렵습니다. 중요한 건 어떤 시스템이 뚫렸느냐입니다.”

금융권 해킹이 은행과 저축은행, 카드사를 거쳐 보험·증권으로 번지는 가운데 우리은행 보안 담당 화이트해커들은 28일 한국경제신문과의 서면 인터뷰에서 이렇게 말했다. 최근 잇달아 발생한 공격이 인터넷과 모바일뱅킹 같은 핵심 시스템이 아니라 대출모집인 등 협력업체가 쓰는 외부 연계 서비스에서 시작됐다는 점에 주목해야 한다는 것이다. 이들은 유출된 정보는 되찾기 어려운 만큼 다크웹 감시와 이상거래 탐지로 2차 피해를 막는 게 은행이 할 수 있는 일이라고 했다. 다음은 일문일답.

▷최근 금융권을 대상으로 이뤄진 해킹 공격에 패턴이 있었나.

“인터넷·모바일뱅킹 같은 핵심 대고객 시스템보다는 대출모집인 등 업무지원 성격의 외부 연계 서비스를 중심으로 시도된 것으로 파악된다. 지난 9월 말부터 관련 시스템에 비정상 접근이 확인됐고, 대출모집인용 조회 서비스를 시작으로 일부 간편조회 서비스까지 공격이 이어진 것으로 알려져 있다. 공격자는 외부에 노출된 서비스의 인증·인가 과정에 있는 취약점을 악용해 고객정보에 접근하고, 이를 다른 조회 서비스에 활용해 추가 정보를 확보하려 한 것으로 추정된다. 핵심 금융시스템뿐 아니라 직원과 협력업체가 쓰는 업무지원 시스템과 외부 노출 서비스도 공격의 시작점이 될 수 있다는 뜻이다. 전체 공격 표면을 상시 파악하고 인증·인가 체계를 계속 점검하는 게 중요하다.”

▷AI를 활용한 공격인지 사람이 한 공격인지 어떻게 구분하나.

“일반인이 구별하기는 어렵고 보안 전문가도 공격 흔적만으로 명확히 구분하기는 쉽지 않다. 해커들은 과거부터 다양한 자동화 도구를 써왔기 때문에 공격받은 모습만 보고 AI를 활용한 공격인지 기존 해킹 도구를 쓴 공격인지 판단하기 어렵다. 침해사고가 발생하면 보안조직은 서버 로그(접속 기록)와 네트워크 패킷(통신 기록)을 분석해 어떤 취약점과 공격 도구가 쓰였는지, 어떤 경로로 침투했는지 등을 종합적으로 살펴본다. 다만 이런 분석만으로 AI가 어느 정도까지 쓰였는지 가려내는 데에는 한계가 있다.”

▷외부 노출 서비스는 어떻게 관리해야 하나.

“외부 접근 구조와 인증 체계가 핵심이다. 우리은행은 대출모집인·영업지원 시스템을 일반 인터넷에서 직접 접근하기 어려운 구조로 운영하고, 단순 ID·비밀번호가 아니라 단말기 인증과 WON인증서와 같은 다중 인증을 적용하고 있다. 외부 노출 서비스는 정기 취약점 점검뿐 아니라 새로 열거나 크게 시스템이 바뀔 때 별도로 보안을 점검하고, 외부에 노출된 자산과 취약점을 상시로 점검하는 체계가 중요하다. 공격자가 취약점을 찾아내기 전에 우리가 먼저 찾아 조치하는 상시 보안체계를 갖추는 게 핵심이다.”

▷금융회사 보안 부서에서 가장 공들이는 기술은.

“이상금융거래를 찾아내고 비정상 접근을 탐지하며 중요 시스템의 접근 권한을 통제하고 고객정보를 보호하는 기술이다. 최근에는 공격자가 노릴 수 있는 외부 노출 시스템을 상시 찾아 관리하는 공격표면관리(ASM)와 AI 기반 취약점 점검으로 공격자보다 먼저 취약점을 찾는 기술이 중요해지고 있다. 인력 측면에서도 보안 솔루션을 운영하는 능력만이 아니라 실제 해커 관점에서 시스템을 공격해보고 어디가 뚫릴 수 있는지 먼저 찾아내는 사람이 중요해졌다. 금융권은 규제가 많은 산업이라 보안 기술과 금융 규제를 함께 이해하고 실제 서비스의 취약점을 찾아 고칠 수 있는 인력의 수요가 크다.”

▷이미 유출된 정보는 되찾거나 삭제할 수 있나.

“디지털 정보는 한번 외부로 유출되면 사실상 완전한 회수가 어렵다. 파일 하나를 삭제한다고 끝나는 게 아니라 이미 여러 곳에 복제됐을 가능성이 있기 때문이다. 그래서 유출이 발생하면 회수보다 추가 유포와 고객 피해를 최소화하는 데 중점을 두고 대응한다. 다크웹이나 텔레그램에서 유출 정보의 판매·유포 여부를 계속 모니터링하고, 발견하면 해당 플랫폼이나 호스팅 업체에 삭제를 요청한다. 이 과정에서 수사기관과도 공조한다. 동시에 고객에게 사실을 신속히 알리고 조회·상담 창구를 운영한다. 유출 정보가 금융사기에 악용되지 않도록 이상거래 탐지 기준과 추가 인증을 강화하는 2차 피해 방지 조치도 함께 취한다.”

▷망분리를 풀어야 AI를 활용한 해킹을 AI를 막을 수 있다는 의견과, 기존의 망분리 덕에 핵심 금융정보가 지켜질 수 있었다는 의견이 맞서는 데 대해 어떻게 생각하나.

“망분리는 외부 공격으로부터 중요 시스템과 금융정보를 보호하는 데 분명 효과가 있다. 다만 방어하는 쪽도 AI를 활용해 취약점을 더 빨리 찾고 대응할 필요성이 커졌다. 금융위원회도 망분리의 보호 효과는 유지하면서 보안 목적의 AI 활용을 허용하는 방향으로 규제 완화를 추진하는 것으로 안다. 망분리를 단순히 해제하기보다는 중요 정보는 강하게 보호하되 필요한 영역에는 AI 활용을 허용하고, 접근 통제와 데이터 유출 방지, 상시 모니터링을 함께 강화하는 방향이 바람직하다. 결국 문제는 ‘망분리냐 AI냐’를 선택하는 게 아니다. 보호해야 할 데이터와 자산의 중요도 및 위험 수준에 따른 다층적인 보안체계로 가는 게 핵심이다.”

▷국내 금융보안은 해외와 무엇이 다르다고 보나.

“과거 국내는 정해진 규정을 제대로 이행했는지 확인하는 방식이 상대적으로 강했다. 최근에는 금융회사가 스스로 위험을 평가하고 그에 맞는 보안대책을 마련하는 자율보안 체계로 점차 전환되고 있다. 해외는 이런 ‘위험 기반 접근’이 더 일찍 정착됐다. 미국 뉴욕주 금융감독청의 사이버보안 규정(NYDFS Part 500)이나 유럽연합(EU)의 디지털운영복원력법(DORA)은 회사가 스스로 위험을 평가해 필요한 통제를 마련하고 그 결과에 책임지는 방식을 강조한다. 국내의 강점도 있다. 금융보안원을 중심으로 금융회사 간 위협정보를 신속하게 공유하고 공동 대응하는 체계가 잘 갖춰져 있다. 이 강점을 유지하면서 개별 회사의 자율성과 책임에 기반한 위험 중심의 보안체계를 고도화하는 방향으로 가야 한다.”

오유림 기자 our@hankyung.com