사진=뉴스1
사진=뉴스1
최근 한 달 사이 금융권 37곳에서 해킹 사고가 발생해 약 47만3000건의 정보가 유출된 것으로 나타났다. 탈취된 자금도 10억원에 달하면서 금융당국은 금융권 580여개사를 대상으로 보안체계 전수점검에 나서기로 했다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원과 금융보안원, 금융권 협회장 및 관계부처가 참석한 '인공지능(AI) 시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 최근 금융권에서 발생한 침해사고 현황과 대응 방안을 논의했다.

금융위에 따르면 지난 9월 30일 첫 침해사고가 확인된 이후 이달 3일까지 금융회사 37곳에서 총 40건의 침해신고가 접수됐다.

업권별로는 전자금융업체가 10곳으로 가장 많았다. 금융투자회사와 저축은행이 각각 5곳, 은행과 온라인투자연계금융업체가 각각 4곳이었다. 보험사와 가상자산업체는 각각 3곳, 여신전문금융회사 2곳, 상호금융회사 1곳에서도 피해가 확인됐다.

특히 지난달 14일 금융권의 자체 보안 점검이 마무리된 이후에도 중소형 증권·보험사와 전자금융업체, 가상자산업체 등을 중심으로 침해신고가 이어졌다.

유출된 정보는 고객 이름과 주민등록번호, 계좌번호, 임직원 개인정보 등 약 47만3000건이다. 다만 금융위는 계좌 비밀번호 등 부정 결제에 악용될 수 있는 정보가 유출된 정황은 현재까지 확인되지 않았다고 설명했다.

자금 탈취 피해는 약 10억원으로 집계됐다. 주로 소규모 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서 사고가 발생했다.

해커들은 인터넷에 연결된 가상자산 보관 지갑인 '핫월렛'이나 소비성 포인트, 온라인투자연계금융업체의 예치금 등 회사가 관리하는 자금을 노린 것으로 파악됐다. 개별 이용자의 직접적인 금전 손실은 아직 확인되지 않았다.

금융당국은 잇따른 사고를 계기로 금융권 전반의 보안 실태를 다시 들여다보기로 했다.

점검 대상은 은행과 증권사 등 기존 금융회사뿐 아니라 전자금융업체, 온라인투자연계금융업체, 가상자산업체까지 약 580개사다.

외부 인터넷과 연결된 시스템의 취약점은 물론 금융회사 내부의 보안 관리체계도 점검한다. CEO와 정보보호최고책임자(CISO), 최고투자책임자(CIO)의 역할과 책임, 외부 접속 관리와 관련한 의사결정 절차 등이 대상이다.

관리대장에 등록된 시스템은 이달 30일까지 점검을 마치고, 등록되지 않은 시스템과 내부통제체계에 대한 조사는 연말까지 완료할 계획이다.

금융회사가 자체적으로 점검을 진행하되 부실한 점검이나 중대한 보안 취약점이 발견되면 금융감독원과 금융보안원이 현장 조사에 나선다.

당국은 이번 점검에서 드러난 기존 취약점에 대해서는 즉각적인 개선을 전제로 유연하게 대응할 방침이다. 다만 전수점검 이후에도 관리 소홀로 침해사고가 발생하면 엄정 조치하기로 했다.

이 위원장은 "보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다"고 경고했다.

그는 "중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 강조했다.

금융권 공동 해킹 대응체계도 강화한다. 현재 운영 중인 통합관제시스템(FIRST)을 개선해 다음 달 시범운영에 들어가고, 내년 1분기부터는 전 금융권이 활용할 수 있도록 할 예정이다.

가상자산업체의 침해사고 신고체계도 정비한다. 현재 전자금융거래법 적용 대상이 아닌 가상자산업체가 사고 발생 시 한국인터넷진흥원(KISA)뿐 아니라 금감원과 금융보안원에도 즉시 신고하도록 이달 중 지침을 마련한다.

대형 금융회사에는 모든 외부 접점을 보안 취약점 평가 대상에 포함하도록 의무화한다. 취약점 분석·평가 주기도 연 2회로 단축하고, 당국의 시정명령을 이행하지 않으면 이행강제금을 부과하는 방안도 추진한다.

중소형 금융회사에는 금융보안원의 AI 기반 보안 서비스를 지원해 자체 대응 능력을 높이기로 했다.

개인정보 유출에 따른 2차 피해 방지 대책도 마련한다.

금융당국은 다크웹 등에서 불법 유통되는 개인정보를 감시하고, 보이스피싱에 악용될 가능성이 있는 범죄계좌를 조기에 찾아내 동결할 방침이다.

이를 위해 금융권 공동 보이스피싱 정보공유·분석 플랫폼인 'ASAP'에 AI 기반 의심 거래 판단지수를 이달부터 시범 도입한다. 대포계좌와 신종 사기 수법을 탐지하는 기능도 추가한다.

보이스피싱 피해자의 과실 여부와 관계없이 금융회사가 피해금 일부를 보상하도록 하는 무과실책임 제도 도입도 추진한다. 관련 내용을 담은 통신사기피해환급법 개정안의 입법을 지원할 계획이다.

AI를 활용한 보안 기술 도입을 확대하기 위해 금융권 망분리 규제도 손질한다.

금융위는 '망분리규제 전면해제 태스크포스(TF)'를 가동해 구체적인 규제 개선 방안을 마련하기로 했다. 현재 예외적으로 허용하고 있는 보안 목적의 AI와 서비스형 소프트웨어(SaaS) 활용은 상시 제도로 전환하는 방안을 추진한다.

아울러 내년 1분기에는 금융권 전반의 정보보안 관리 기준을 담은 '디지털금융안전법'을 마련할 예정이다. 가상자산업체와 법인보험대리점(GA)에도 전자금융거래법에 준하는 보안 규율을 적용하고, 클라우드 사업자와 플랫폼 등 외부 서비스 제공업체까지 관리 범위를 넓힌다는 구상이다.

김희선 한경닷컴 기자 gimme_sun@hankyung.com