신한은 15시간, 국민은 67시간 만에 알았다…금융권 국감서 해킹 늑장 인지 추궁

금융권 연쇄 해킹을 다룬 국회 정무위원회 국정감사에서 의원들은 금융사의 보안 대응과 금융당국의 관리·감독 책임을 집중 추궁했다. 피해를 입은 신한·KB국민·하나은행장은 사고에 사과했고, 피해가 없었던 우리은행장은 “운이 좋았다”고 말했다. 정무위 의원들은 보안에도 인공지능(AI)을 쓸 수 있도록 망분리 규제를 고치라고 요구했다.

이번 쟁점은 지난 8일 금융위원회(금융위) 국감과 19일 금융감독원(금감원) 국감에서 다뤄졌다. 정무위 의원들은 침해사고 점검 강화와 정보보호 투자 확대를 요구했고, 5대 은행장은 증인으로 출석해 보안 강화와 재발 방지 대책을 밝혔다.

망분리 규제·금융당국 관리·감독 도마

박민규 더불어민주당 의원은 금융위 국감에서 금융사의 보안관제에 AI를 적극 활용할 것을 주문했다. 이번 공격에 AI가 활용됐을 가능성이 제기되는데, 방어자들은 AI를 제대로 활용 못하고 있다는 것이다. 현재 금융사는 내부 전산망과 인터넷망을 나누도록 한 망분리 규제 때문에 보안 목적으로도 AI를 쓰기 어려운 실정이다.

박 의원은 보안 AI 실증사업의 신청 자격을 갖춘 49개사 중 20개사만 신청했고, 실증기간도 1년으로 제한돼 장기적인 보안 투자를 이끌기 어렵다고 지적했다. 또 4대 은행의 보안 전담 인력은 평균 92명인데 저축은행은 평균 6명에 그친다며, 실증기간을 늘리고 중소 금융회사가 함께 쓰는 AI 보안체계를 지원하라고 제안했다.

이억원 금융위원장은 AI 공격에 대응하려면 방어에도 AI를 활용해야 한다는 취지에 공감하며 망분리 규제를 단계적으로 개선할 방법을 찾겠다고 답했다. 공동 보안체계 제안도 살펴보겠다고 밝혔다.

한창민 사회민주당 의원은 금융보안원이 지난해 AI 보안 위협 대응요령을 내놓고 금융사의 자산과 공급망 관리, 외부 시스템 점검을 강조했는데도 이번 사고에서 같은 취약점이 드러났다고 지적했다. 한 의원은 지난 9월17일 금융사 보안 담당자 160명을 대상으로 세미나까지 열었는데도 현장에서 조치가 제대로 이행되지 않은 이유를 따졌다. 금감원이 권고한 뒤 사후관리와 감독이 제대로 이뤄졌는지도 점검하라고 요구했다.

이 위원장은 금융권의 대응이 기본적인 부분에서도 미흡했다며 철저히 점검하고 개선하겠다고 답했다.

침해사고 점검 실효성·대응 지연 문제 제기

김형연 조국혁신당 의원은 침해사고 점검의 기간과 기준이 구체적이지 않아 과거 공격 흔적을 놓칠 수 있다고 지적했다. 김 의원은 사례로 현대캐피탈이 해킹 발생 후 닷새 넘게 지나서야 사고를 알았다는 점을 들었다. 신한은행은 보안관제 대상 서비스에서 생긴 이상 징후를 보안부서가 아닌 개발부서가 발견했다고 지적했다.

김 의원은 신한은행 공격에 쓰인 인터넷주소(IP)가 앞서 다른 인터넷전문은행 서버에도 접근을 시도한 흔적이 있다며, 모든 금융사가 최소 1년 치 접속기록을 점검하고 점검 기간과 발견 사항을 제출해야 한다고 주장했다. 김 의원은 금융사가 사고를 알아채기까지 한 달 넘게 걸린 사례가 91건, 1년 넘게 걸린 사례가 17건이라는 자료도 제시했다.

박홍배 더불어민주당 의원은 이번 해킹의 주요 대상이 대출모집인 조회 서비스와 직원용 업무지원 시스템 등 핵심 뱅킹 시스템이 아닌 보조 시스템이었다는 점을 지적했다. 핵심 시스템이 아니더라도 고객정보를 보유하고 있다면 보안관리 수준을 달리해서는 안 된다는 취지다.박 의원은 금보원이 과거 인증을 우회당할 위험을 경고한 사실도 언급하며, 은행별 모의 해킹 점검 대상과 발견된 취약점, 개선·재점검 내역을 의원실에 보고하라고 요구했다. 모의 해킹은 실제 공격처럼 시스템의 약점을 찾아보는 점검이다.

한민수 더불어민주당 의원은 금감원 국감에서 금융사의 보안점검 실효성과 취약점 신고 제도인 버그바운티 활성화 필요성을 제기했다. 버그바운티는 외부 보안 전문가가 시스템의 취약점을 찾아 신고하면 포상금을 주는 제도다.

한 의원은 금감원이 555개사를 점검해 130개사에서 보안 미흡 사항을 확인한 것과 관련해서는 자체 점검에서 미흡 사항이 없다고 답한 금융사도 다시 검증할 것을 요구했다. 또 한국인터넷진흥원(KISA)은 버그바운티를 분기별로 운영하는데 금감원과 금보원은 연 1회만 운영한다며, 운영 횟수와 참여 회사, 신고·포상 규모를 모두 늘려야 한다고 강조했다. 금융권 포상금이 KISA의 6분의 1 수준이라는 점도 지적했다.

이찬진 금감원장은 “기존 제도를 적극 활용하는 한편, 버그바운티 운영 기준을 키사 수준으로 높일 수 있도록 준비하겠다”고 답했다.

김용만 더불어민주당 의원은 국민은행이 금융권 해킹 공격을 가장 먼저 받고도 초기 대응이 늦어 정보가 추가로 유출됐고, 금융당국 보고도 늦었다고 지적했다.

김 의원은 국민은행이 9월27일 오후 11시 19분 첫 접근을 받았지만 이를 일상적인 이상 트래픽으로 판단해 IP 차단 조치에 그쳤고, 29일 베트남 IP를 통한 2차 공격으로 81명의 정보가 추가로 유출됐다고 설명했다. 유출 정황은 30일 오후 7시께 확인됐으며, 금감원 보고는 다음 날 오후 6시께 이뤄졌다고 지적했다. 이환주 KB국민은행장은 “신속하게 차단하고 대응하지 못한 점이 아쉽다”고 밝혔다.

김재섭 국민의힘 의원은 신한은행의 사고 인지까지 15시간 26분이 걸렸고 개인정보 2만5729명의 정보가 유출됐다고 지적했다. 김 의원이 제시한 자료에 따르면 국민은행은 사고 인지까지 67시간 41분, 하나은행은 41시간 44분이 걸렸다. 유출된 이름과 전화번호, 연소득, 대출 관련 정보와 주민등록번호 등이 보이스피싱과 불법 사금융에 악용될 수 있다고 우려했다.

피해 보상 과정에서 고객에게 입증 책임을 떠넘기는 문제도 제기했다. 김 의원에 따르면 신한은행에서 정보 유출 여부를 조회한 고객은 5682명으로 전체 피해자의 약 22%에 그쳤다. 국민은행은 보상 안내에 ‘입증된’ 피해자라는 표현을 사용했고, 하나은행은 구체적인 보상 방침이 없다고 지적했다.

정상혁 신한은행장은 유출 고객 약 2만5000명에 대한 전액 보상을 계획하고 있다고 밝혔다. 이환주 국민은행장은 AI를 활용한 공격을 전제로 AI 기반 보안체계를 갖추겠다고 말했다. 이호성 하나은행장은 고객과 국민에게 사과하고 보안 예산과 인력을 확충하겠다고 밝혔다. 하나은행은 수수료 면제를 진행했으며, 고객 동의 절차가 완료되면 금융안심보험에 가입해 추가 피해를 예방할 계획이다. 이 행장은 피해가 발생하면 전액 배상하겠다고 약속했다.

정진완 우리은행장은 해킹 피해가 발생하지 않은 데 대해 운이 좋았다고 생각한다며 우리은행에도 하루 200건 이상의 해킹 시도가 들어온다고 설명했다. 강태영 NH농협은행장은 2022년 구축한 차세대 통합관제시스템을 올해와 내년 고도화해 보안관제를 강화하겠다고 답했다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network