금융권 37곳서 해킹 40건…580개사 전수점검·AI 보안체계 구축

금융권에서 지난 9월30일 이후 지난 3일까지 총 37개사, 40건의 침해사고가 신고된 것으로 나타났다. 유출된 정보는 약 47만3000건으로 파악됐다. 일부 소규모 가상자산거래소와 전자금융업자, 온라인투자연계금융업자(온투업자)에서는 고객자금 탈취 사고도 발생했다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원 및 금융권 협회장들과 함께 ‘AI시대 보안체계 혁신을 위한 전 금융권 간담회’를 개최하고 이 같은 침해사고 현황을 공유했다.

업권별 신고 기업 수는 전자금융업이 10개사로 가장 많았다. 이어 금융투자업 5개사, 저축은행 5개사, 은행 4개사, 온투업 4개사, 가상자산업 3개사, 보험업 3개사, 여신전문금융업 2개사, 상호금융 1개사 순이다.

은행·보험·증권 등 전통 금융업권뿐 아니라 가상자산업과 전자금융업, 온투업 등 전 업권에서 침해사고가 확인됐다. 지난달 14일 전 금융권의 보안 체크리스트 점검이 완료된 이후에는 중소규모 증권·보험사와 전자금융업자, 온투업자, 가상자산거래소 등의 사고가 주로 보고됐다.

정보유출 규모는 약 47만3000건이다. 주로 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등 금융회사 영업 과정에서 수집한 정보가 유출됐다. 계좌 비밀번호 등 부정결제로 이어질 수 있는 정보의 유출은 아직 확인되지 않았다.

일부 소규모 가상자산거래소와 전자금융업자, 온투업자에서는 회사가 관리하는 자금이 탈취되는 사고도 발생했다. 현재까지 신고된 자금탈취 규모는 약 10억원이다. 가상자산 핫월렛과 소비성 포인트, 온투업 예치금 등 고객자금을 통합 관리하는 계정에서 자금이 이체된 것으로 파악됐다. 다만 개별 이용자의 자금 손실이 현실화된 사례는 아직 확인되지 않았다.

금융당국은 전자금융거래법상 침해사고로 고객에게 손해가 발생하면 금융회사에 무과실 배상책임이 적용되고, 가상자산 이용자 보호법에도 보험 가입과 적립금 마련 등 소비자 보호 조치가 규정돼 있다는 점을 강조했다. 관련 제도에 따라 소비자 보호 조치가 제대로 이뤄지는지 감독하는 한편, 추가 자금탈취를 막기 위해 가상자산업권 등에 철저한 자금 관리도 주문했다.

이번 간담회에서는 금융권 보안관리 체계의 취약점을 보완하고 소비자 2차 피해를 예방하는 방안과 인공지능(AI) 시대에 대응한 새로운 보안체계 구축 방안도 논의됐다. 정부는 금융당국뿐 아니라 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청 등 관계기관과 공조해 대응하기로 했다.

전 금융권 외부접점·내부통제 체계 전면 점검

금융당국은 금융권 580여개사를 대상으로 IT 자산의 외부접점과 내부통제 체계를 전면 점검한다. 은행·보험·증권 등 전통 금융회사뿐 아니라 전자금융업자와 온투업자, 가상자산사업자도 대상에 포함된다.

점검 범위는 홈페이지 등 대고객 서비스뿐 아니라 직원 관리, 내부 업무, 제휴 업무 등 외부에서 접근할 수 있는 모든 시스템이다. 인증·접근통제 시스템과 업무용 API, 개발·테스트 시스템, 임시 운영 시스템 등 최근 침해사고가 발생했거나 관리가 소홀했을 가능성이 있는 시스템을 폭넓게 살펴본다.

금융회사 최고경영자(CEO)·정보보호최고책임자(CISO)·최고정보책임자(CIO) 등 주요 임원의 역할과 책임, 외부접점의 생성·운영·폐기 과정에서의 의사결정 절차, IT 자산 관리대장 운영 여부 등 내부통제 체계도 점검한다.

점검 과정에서 금전 피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 발견되면 해당 서비스 운영을 중단하고 외부 접근을 차단해야 한다. 즉각적인 보완이 어렵지만 서비스 제공이 필요한 경우에는 대체 통제 체계를 마련하고 CEO 승인을 받아야 한다. 이후 취약점 보완과 장비 교체 등 근본적인 개선 조치도 신속히 이행해야 한다.

우선 금융회사가 자체 점검을 진행한다. 점검 결과가 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 직접 현장점검에 나선다. 당국은 전수점검 과정에서 발견된 취약점과 기존 관리 부실에 대해서는 즉각적인 보완을 전제로 유연하게 처리하되, 점검 이후 침해사고가 발생하면 점검이 제대로 이뤄졌는지까지 따져 책임을 묻겠다는 방침이다.

관리대장에 등록된 시스템의 외부접점 점검은 이달 30일까지 마무리한다. 미등록 시스템과 CEO·CISO 등 내부통제 체계에 대한 점검은 다음 달 31일까지 완료할 계획이다. 전수점검 결과를 바탕으로 보안 내부통제 가이드라인도 내년 1분기 중 마련해 시행한다.

금융권 공동 해킹 관제시스템 고도화

금융당국은 금융회사별로 파악한 해킹 위협 정보를 전 금융권에 신속하게 공유할 수 있도록 공동 관제시스템을 고도화한다. 인공지능(AI)을 활용한 해킹 시도가 금융권 전반으로 빠르게 확산할 가능성에 대비하기 위해서다.

현재 금융감독원(FIRST)과 금융보안원(FCTI)이 각각 관제시스템을 운영하고 있지만, 금감원과 금융보안원이 자체적으로 파악한 위협 정보만 공유하고 있다. 앞으로는 자체 관제 역량을 갖춘 대형 금융회사도 공격 정보를 선제적으로 공유할 수 있도록 체계를 확대한다.

공유 대상은 공격 방식과 공격자 IP(인터넷 주소), 악용된 취약점, 악성코드 정보 등이다. 대형 금융회사가 자체 관제를 통해 탐지한 정보를 통합관제시스템(FIRST)을 통해 전 금융권에 전파하면, 이를 전달받은 다른 금융회사들은 침해사고 대응과 보안 취약점 보완 등에 활용할 수 있다.

당국은 다음 달 중 시스템 시범 운영을 거쳐 내년 1분기 중 전 금융권이 본격적으로 활용할 수 있도록 할 계획이다.

가상자산거래소 등 전자금융거래법이 적용되지 않는 업권의 침해사고 신고 체계도 정비한다. 현재 해당 업권은 침해사고 발생 시 정보통신망법에 따라 한국인터넷진흥원(KISA)에 신고하고 있다. 그러나 금융권 전반에서 해킹 사고가 발생하고 있고 가상자산사업자가 다른 금융업권과도 밀접하게 연결돼 있는 만큼, 금융당국과 금융보안원에도 사고 상황이 신속히 공유될 필요가 있다는 판단이다.

이에 가상자산사업자 등 해당 업권에서 침해사고가 발생하면 KISA뿐 아니라 금융감독원과 금융보안원에도 즉시 신고하도록 하는 가이드라인을 이달 중 마련할 계획이다.

금융권 취약점 분석·평가 연 2회로 확대

금융당국은 금융회사의 보안 취약점 점검을 강화하기 위해 취약점 분석·평가 제도를 개편한다. 현재 금융회사는 전자금융거래법과 전자금융감독규정에 따라 외부 전문기관으로부터 연 1회 이상 전산시스템의 취약점을 점검받고 그 결과를 금융당국에 제출해야 한다.

그러나 빠르게 변화하는 보안 환경에 비해 점검 주기가 길고, 외부 점검 대상이 명확하지 않아 주변부 시스템까지 충분히 점검하기 어렵다는 지적이 제기돼 왔다. 점검 과정에서 취약점이 발견되더라도 개선을 강제할 수단이 부족하다는 한계도 있었다.

이에 따라 금융당국은 대형 금융회사부터 취약점 분석·평가 주기를 연 1회에서 2회로 단축하고, 전자금융거래와 직·간접적으로 관련된 모든 외부접점을 점검 대상에 포함하도록 의무화할 계획이다. 긴급한 점검이 필요한 경우 금융당국이 수시로 취약점 분석·평가를 요구할 수 있는 근거도 마련한다.

중요한 취약점을 장기간 방치한 금융회사에 시정명령을 내리고, 이를 이행하지 않으면 이행강제금을 부과하는 방안도 추진한다. 당국은 점검 주기 단축과 점검 대상 확대, 수시평가 등의 내용을 담은 전자금융감독규정 개정안을 이달 중 입법예고할 예정이다. 이행강제금 도입을 위한 전자금융거래법 개정안은 연내 국회 통과를 목표로 입법을 지원한다.

중소형 금융회사 AI 해킹 대응 지원

금융당국은 보안 전문인력과 예산이 부족한 중소형 금융회사의 보안 역량을 높이기 위한 지원도 강화한다.

금융보안원이 인공지능(AI)을 활용해 중소 금융회사의 외부접점과 취약요인을 상시 탐색하고, 위험 우선순위와 조치 방안까지 제공하는 ‘원스톱 AI 방어 서비스’를 지원한다. 금융회사의 보안 역량에 맞춰 필요한 조치를 안내하는 ‘맞춤형 보안 안내서’도 제공한다. 외부에 노출된 IT 자산을 목록화하고 보안 패치 적용 기간을 정하는 등 기본적인 보안 조치를 쉽게 이행하도록 돕는 방식이다.

금융회사가 침해공격 위험도를 파악하고 대응할 수 있도록 단계별 경보체계와 행동요령도 지원한다. 금융당국은 금융보안원의 역량을 활용해 관련 서비스를 다음 달부터 순차적으로 제공할 계획이다.

망분리 규제 전면 해제 TF 구성…AI 기반 보안체계 마련

금융당국은 인공지능(AI)을 활용한 해킹 위협에 대응하기 위해 망분리 규제 전면 해제를 논의하는 태스크포스(TF)를 구성한다. 기존 내부망과 외부망을 분리하는 방식에서 벗어나 AI로 공격을 탐지하고 차단하는 새로운 보안체계를 마련한다는 구상이다.

TF에는 정부와 유관기관, 민간 전문가, 전 금융권 담당 임원 등이 참여한다. 데이터 중요도에 따른 관리·보호체계와 모든 접근을 지속적으로 검증하는 ‘제로트러스트’ 등 대체 보안수단을 논의할 예정이다.

아울러 최고경영자(CEO)와 이사회, 정보보호최고책임자(CISO)의 역할과 책임을 정비하고, 침해사고가 발생하더라도 핵심 금융서비스를 유지할 수 있도록 업무연속성 확보 방안도 마련할 계획이다.

보안 목적 AI 활용 상시화…망분리 규제 완화 확대

금융당국은 금융회사가 보안 강화 목적으로 인공지능(AI)을 상시 활용할 수 있도록 망분리 규제 완화를 제도화한다. 현재 비조치의견서를 통해 긴급조치 차원에서 허용하고 있는 보안 목적 AI·서비스형 소프트웨어(SaaS) 활용을 상시 허용하는 방식이다.

이를 통해 금융회사가 AI를 활용해 보안 취약점을 탐색·보완하고 새로운 보안 서비스를 도입할 수 있도록 지원할 계획이다. 다만 망분리 규제 완화가 새로운 보안 취약점으로 이어지지 않도록 외부접점 관리와 인증·접근통제, 보안사고 및 장애 대응 등 대체 통제 수단을 마련하도록 할 방침이다.

혁신금융서비스 지정을 통한 망분리 규제 완화도 확대한다. 업무용 SaaS와 생성형 AI 서비스뿐 아니라 블록체인 등 다양한 IT 서비스를 대상으로 혁신금융서비스 심사를 통해 망분리 규제 예외를 인정하는 방안을 추진한다.

디지털금융 안전법 추진…가상자산사업자 등 보안 규율 확대

금융당국은 금융권의 전산 보안 규율을 강화하기 위해 ‘디지털금융 안전법’ 제정을 추진한다. 인공지능(AI) 해킹 위협과 디지털 금융서비스의 복잡한 연결 구조에 대응해 금융회사뿐 아니라 관련 업종까지 보안관리 의무를 확대하는 것이 핵심이다.

우선 가상자산사업자와 보험대리점(GA) 등 대량의 고객정보를 보유하거나 침해사고 발생 시 고객의 직접적인 자산 피해가 우려되는 업종에 현행 전자금융거래법 수준의 보안 규율을 적용하는 방안을 검토한다.

금융회사가 아니더라도 다수 금융회사와 연계돼 있거나 업무 위탁을 통해 대량의 정보를 처리하는 클라우드 사업자와 플랫폼 등 제3자에 대한 규율체계도 마련할 계획이다. 이들 사업자에서 침해사고가 발생할 경우 금융권 전반으로 피해가 확산할 수 있다는 점을 고려한 조치다.

금융회사 내부의 보안 책임도 강화한다. 최고경영자(CEO)의 책임과 이사회 구성, 현업 부서의 역할 등 보안 거버넌스와 내부통제 관련 규율을 법에 반영하는 방안을 검토한다. 금융당국은 금융업권과 관계기관의 의견을 수렴해 구체적인 제정 방안을 마련하고 내년 1분기 중 법안 마련을 추진할 계획이다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network