[딜사이트 한영훈 기자] 금융권 16개사에서 침해사고가 발생했고 정보유출 규모는 약 10만건으로 파악됐다. 별도로 진행한 긴급 보안점검에서도 130개사가 미흡사항을 보고했다. 금융당국은 보안체계 전수점검과 최고경영자(CEO) 책임 강화를 추진하기로 했다.

금융위원회는 14일 정부서울청사에서 신진창 사무처장 주재로 ‘제2차 긴급 상황대응 회의’를 열고 금융권 침해사고 조사 경과와 보안점검 결과, 관리체계 강화 방안을 논의했다. 금융감독원과 금융보안원, 개인정보보호위원회, 경찰청 등 관계기관이 참석했다.

신한은행 침해사고 전후로 사고 발생이 확인된 곳은 신한·국민·부산·하나은행, 예가람·웰컴·DB·OK저축은행, 현대캐피탈·산은캐피탈 등이다. 온라인투자연계금융업체 PFCT·모우다와 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅, 새마을금고중앙회에서도 사고가 확인됐다. 은행뿐 아니라 저축은행·캐피탈사·핀테크 업체 등 여러 업권에서 침해사고가 발생한 것이다.

현재까지 파악된 유출 정보는 성명과 연락처, 주민등록번호, 이메일 등 약 10만건이다. 금융위는 “계좌번호·카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다”고 설명했다. 각 금융회사가 공유된 공격자 인터넷주소(IP) 등을 바탕으로 침해 여부를 확인하고 있어 사고 발생 회사는 더 늘어날 수 있다.

당국은 현장조사를 통해 침해 경로와 공격 방식을 파악하고 있다. 사건 간 연관성이나 동일 공격자 여부, 인공지능(AI)을 활용한 해킹 가능성은 아직 조사 중이다. 사고가 신고된 회사에는 공격자 IP 차단과 보안패치, 관련 서비스 중단 등 추가 침해 방지 조치와 함께 개인정보 유출 사실 및 대응요령을 고객에게 안내하도록 했다.

긴급 보안점검에서는 기본적인 관리의 빈틈도 드러났다. 지난 8일까지 진행한 12개 항목의 체크리스트 점검에서 대상 555개사 중 425개사는 ‘적정’으로 제출했지만, 130개사는 미흡사항이 있다고 보고했다. 전체의 23.4%다. 미흡사항을 보고한 회사 대부분은 보안패치나 관제체계 관련 1~2개 항목에서 보완이 필요한 것으로 나타났다. 전자금융업과 온라인투자연계금융업에서 상대적으로 많은 미흡사항이 발견됐다.

구체적으로는 최신 보안패치 미적용, 제조사 기술지원이 끝난 시스템 관리 미흡, 24시간 실시간 관제체계 미구축 등이 보고됐다. 외부에 연결된 시스템의 인증·접근권한 확인 절차가 빠져 있거나 중요 서비스에 강화된 인증절차를 도입하지 않은 사례도 있었다. 해당 회사들은 보안패치 적용과 노후장비 교체, 관제 인력·설비 확충, 접근통제 강화 등의 실행계획을 제출하고 보완에 착수했다.

당국은 이번 12개 항목 점검에 이어 금융회사 보안관리 전반을 전수점검할 계획이다. 전산시스템이 외부와 연결되는 모든 접점을 목록으로 만들고 최신 상태로 관리하도록 한다. 외부 접점의 인증과 접근권한도 명확히 설정하고 엄격하게 관리하도록 지도·감독한다. 구체적인 점검 범위와 일정은 금융권과 협의해 확정할 예정이다.

경영진 책임도 강화한다. CEO와 정보보호·정보기술 담당 임원의 보고체계와 책임 범위를 명확히 하고, 보안점검 권고가 현장에서 실제로 이행되도록 CEO 책임 강화와 제재 실효성 제고를 위한 제도개선을 추진한다.

아울러 취약점 점검·평가 주기는 대형 금융회사부터 연 2회 이상으로 확대하는 방안을 추진한다. 현재 금융회사와 전자금융업자의 점검·평가 의무는 연 1회이며, 외부 홈페이지에는 연 2회가 적용된다. 당국은 외부 접점이 넓고 고객이 많은 대형사부터 점검을 강화하고, 중요한 외부 접점을 필수 점검대상에 포함할 방침이다. 긴급한 경우 수시점검을 할 수 있는 근거 마련을 검토한다.

금융회사 간 해킹위협 정보 공유도 확대한다. 현재는 금감원과 금융보안원이 파악한 위협정보를 금융권에 전파하지만, 개별 금융회사가 자체 보안관제 과정에서 파악한 정보는 공유되지 않고 있다. 당국은 이 정보도 통합관제시스템 등을 통해 공유하도록 개선하고, 금융회사가 침해위협 수준을 직관적으로 확인할 수 있는 정보체계도 마련할 예정이다. 외부 노출자산과 소스코드, 모바일 앱 등의 취약점을 탐지하는 AI 기반 점검 인프라 구축도 추진한다.

보안 대응 여력이 부족한 중소형 금융회사의 경우 공동 대응 기반을 지원한다. 금융보안원이 업권별 협회·중앙회와 AI 기반 공동 보안관제시스템 구축을 검토하고, 외부 접점의 취약점 점검과 맞춤형 보안안내서 마련 등을 추진한다. 전자금융거래법 적용대상에서 빠져 있는 대부업과 법인보험대리점(GA)에도 AI 보안위협 대응요령을 전파하는 등 보안 강화 방안을 검토한다.

신 처장은 “수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분”이라며 “CEO와 이사회 책임성 확보를 포함한 보안체계 전반의 재점검을 강조하고, AI 공격을 AI로 방어하는 체계를 확립하기 위해 망분리 규제 완화 등 제도개선도 추진하겠다”고 강조했다.