[딜사이트 한영훈 기자] 해킹을 막으려고 설치한 보안프로그램이 오히려 해킹 공격의 통로가 될 수 있다는 경고가 국정감사에서 나왔다. 국내 은행 19곳 중 9곳은 별도 보안프로그램을 설치하지 않으면 인터넷뱅킹을 이용할 수 없도록 하고 있지만, 정작 금융권에서 사용하는 보안프로그램에서는 정보 유출과 악성코드 실행으로 이어질 수 있는 취약점이 잇따라 발견됐다. 정부가 지난해 설치형 보안프로그램 강제 관행을 단계적으로 없애겠다고 발표했지만 1년이 지난 지금도 절반 가까운 은행이 설치를 사실상 의무화하고 있어 금융권의 보안 관행을 재점검해야 한다는 지적이 나온다.

22일 국회 정무위원회의 금융위원회·금융감독원 종합국정감사에서 손명수 더불어민주당 의원은 은행권의 보안프로그램 설치 강제 관행과 프로그램 자체의 취약성을 지적하며 금융당국의 대책 마련을 촉구했다. 이에 이찬진 금융감독원장은 "개인정보보호위원회와 과학기술정보통신부 등 관계기관과 개선방안을 논의하겠다"고 밝혔다.

손 의원이 은행들로부터 제출받은 자료에 따르면 국내 시중·지방·특수·인터넷은행 19곳 가운데 17곳이 보안프로그램 설치를 권장하고 있다. 이 중 9곳은 프로그램을 설치하지 않고 인터넷뱅킹을 이용하는 '무설치 뱅킹'을 지원하지 않았다. 이용자가 보안프로그램 설치 여부를 선택할 수 없는 은행이 전체의 47.4%에 달하는 셈이다.

문제는 이 같은 설치 강제 관행이 정부의 정책 방향과 엇박자를 내고 있다는 점이다. 정부는 지난해 10월 22일 '범부처 정보보호 종합대책'을 발표하면서 올해부터 금융회사 등이 이용자에게 보안프로그램 설치를 강요하는 관행을 단계적으로 제한하겠다고 밝혔다. 그러나 대책 발표 이후 1년이 지나도록 조사 대상 은행의 절반 가까이가 기존 방식을 유지하면서 정책의 현장 적용이 더디다는 지적을 피하기 어렵게 됐다.

보안프로그램 설치가 반드시 안전한 금융거래를 보장하는 것도 아니다. 오히려 프로그램 자체가 새로운 보안 취약점을 만들어낼 수 있다는 사실이 잇따라 확인됐다. 한국인터넷진흥원(KISA)에 따르면 지난해 3월부터 올해 8월까지 은행 등이 사용하는 인증 보안프로그램 '애니사인(AnySign)'에서 정보 노출과 임의 코드 실행 등 취약점 10건이 신고됐다.

학계에서도 설치형 보안프로그램의 구조적 위험성을 지적한 바 있다. KAIST와 고려대, 성균관대 등의 공동연구팀은 지난해 국내 금융·공공기관에서 사용하는 보안프로그램 7종을 분석해 취약점 19건을 발견했다. 키보드 입력 탈취와 인증서 정보 유출, 외부에서 악성코드를 실행할 수 있는 문제 등이 포함됐다.

연구진이 주목한 것은 개별 취약점을 넘어 설치형 보안프로그램의 작동 방식 자체였다. 발견된 취약점은 이후 패치됐지만, 연구진은 보안프로그램이 인터넷 브라우저의 기본 보호체계를 우회하도록 설계된 구조 자체를 문제로 지적했다.

일반적으로 인터넷 브라우저는 외부 웹사이트가 이용자의 PC 내부 정보에 함부로 접근하지 못하도록 차단한다. 그러나 일부 설치형 보안프로그램은 금융거래 과정에서 키보드 입력이나 인증서 등에 접근하기 위해 이러한 보호체계의 일부를 우회한다. 이 과정에서 프로그램이 확보한 시스템 접근 권한이 공격자에게 악용될 경우 금융정보 탈취나 악성코드 실행으로 이어질 수 있다는 것이다.

실제 해킹 피해가 발생한 은행에서는 보안프로그램 관련 서버의 관리 취약점까지 드러났다. 손 의원이 공개한 해당 은행의 올해 전자금융기반시설 취약점 점검 보고서에 따르면 이상거래 탐지에 사용하는 'IP인사이드(IPinside)' 관련 서버 7대에서 취약 항목 22건이 발견됐다.

보안 지원이 종료된 구형 서버 소프트웨어 사용과 로그 파일 접근권한 관리 미흡 등이 포함됐다. 이는 보안프로그램 자체의 결함과는 별개로 관련 시스템의 운영·관리에서도 보안상 허점이 존재했다는 의미다. 해당 취약점들이 실제 해킹 사고의 직접적인 원인으로 작용했는지는 확인되지 않았다.

이용자들이 보안프로그램의 역할과 작동 방식을 제대로 알지 못한 채 설치하고 있다는 점도 문제다. 손 의원이 인용한 국내 연구진의 설문조사에서는 응답자 400명 중 약 59%가 금융 보안프로그램의 역할을 이해하지 못한 채 설치한 것으로 나타났다. 은행이 설치를 요구하면 이용자는 별다른 선택권 없이 프로그램을 내려받지만, 정작 해당 프로그램이 PC에서 어떤 기능을 수행하고 어떤 권한을 갖는지는 충분히 알지 못하는 셈이다.

손 의원은 "보안 프로그램을 많이 설치하기만 한다고 해서 안전이 보장되는 것은 아니다"라며 "인공지능(AI)을 활용해 일반인도 해킹이 가능한 시대가 열린 만큼 보안 체계를 원점에서 검토해야 한다"고 강조했다.

이에 이 원장은 정부 차원의 AI 보안체계 정비가 진행되고 있다고 설명했다. 그는 "국정원과 국가안보실 차원에서 AI 보안체계가 어느 정도 정립된 것으로 알고 있다"며 "그 체계 내에서 금융보안 시스템도 점검되는 것으로 보인다"고 말했다.

이어 "실제 금융 현장에서 어떻게 적용할 수 있는지 개인정보보호위원회와 과학기술정보통신부 등 관계기관과 논의하고 금융위원회와 협의해 정리해 나가겠다"고 밝혔다.