금융권 해킹 확산에 긴급회의 사흘 당겼다…“불필요한 외부접근 차단”

은행 넘어 저축은행·캐피탈까지 해킹 확산
이억원 “대응 소홀 땐 엄정 책임”

이억원 금융위원장(왼쪽 두번째)은 4일 오후 2시 서울 광화문 정부서울청사에서 이찬진 금융감독원장(왼쪽 첫번째), 박상원 금융보안원장, 금융업권별 협회장과 주요 금융회사 최고경영자(CEO) 등이 참석한 가운데 ‘전 금융권 긴급 점검회의’를 열었다. 금융위 제공

금융권을 겨냥한 해킹 공격과 정보유출 사고가 잇따르자 금융당국이 전 금융권 관계자를 긴급 소집했다. 당초 오는 7일로 예정됐던 회의를 사흘 앞당겨 주말인 4일 개최했다. 금융당국은 외부에 노출된 정보기술(IT) 자산과 접근 경로를 전면 점검하고 불필요한 외부 접근은 원칙적으로 차단하도록 금융권에 주문했다.

4일 금융위원회에 따르면 이억원 금융위원장은 이날 오후 2시 정부서울청사에서 이찬진 금융감독원장, 박상원 금융보안원장, 금융업권별 협회장과 주요 금융회사 최고경영자(CEO) 등이 참석한 가운데 ‘전 금융권 긴급 점검회의’를 열었다. 과학기술정보통신부와 개인정보보호위원회, 경찰청, 한국인터넷진흥원(KISA) 등 관계부처·기관도 참석했다.

지난달 30일 신한은행의 침해사고가 확인된 이후 당국은 공격자 IP와 공격 수법 등 관련 정보를 전 금융권에 공유하고 유사한 공격을 받은 적이 있는지 자체 점검하도록 했다. 이 과정에서 예가람저축은행과 현대캐피탈 등에서도 추가 피해가 확인된 것으로 전해졌다. 당국은 지난 2일에도 금융위 사무처장 주재로 긴급 상황대응 회의를 열고 전 금융권에 보안점검 체크리스트를 배포했다.

앞서 신한은행에서는 고객 2만5729명의 개인정보가 유출됐다. KB국민은행에서는 고객 119명, 하나은행에서는 89명의 개인정보가 빠져나갔다. 이어 예가람저축은행에서는 고객 약 4만명의 개인정보가 유출된 것으로 확인됐고, 현대캐피탈에서도 주택대출 모집인 146명의 정보가 유출됐다. 이날 웰컴저축은행에서도 법인명과 담당자 이름·이메일·전화번호 등 법인 고객 정보 최대 2200건이 유출된 것으로 추정된다. 새마을금고와 농협 상호금융에서는 은행권 공격에 사용된 것과 동일하거나 유사한 IP를 통한 접근 시도가 포착됐다. (☞관련기사 신한 이어 국민·하나·부산銀 도 정보유출…은행권 해킹 비상)

특히 최근 공격은 인터넷·모바일뱅킹 등 핵심 금융거래망보다 대출모집인이나 임직원, 위탁업체 등이 사용하는 외부 웹페이지와 서버 등 상대적으로 관리가 취약했던 영역에 집중된 것으로 파악됐다.

이 위원장은 일부 시스템에서 인증 등 기본적인 보안조치가 미흡하거나 업무상 필요 이상의 정보가 보관·조회되는 등 보안관리의 사각지대가 있다는 점도 지적했다.

그는 “이미 공유된 공격정보와 사고사례가 있음에도 필요한 점검과 대응을 소홀히 해 유사한 사고가 발생하는 경우에는 관련 법령에 따라 엄정히 책임을 묻겠다”고 강조했다.

당국은 은행·카드뿐만 아니라 상호금융과 저축은행, 보험, 증권, 핀테크 등 중소형 금융회사를 포함한 전 금융권에 보안체계 전반을 재점검하도록 했다. 외부 IT 자산과 인증·접근통제, 침해활동 탐지체계 등을 점검한 뒤 그 결과를 금융위와 금감원에 보고하도록 했다.

소비자 서비스 제공이나 업무 수행에 반드시 필요한 경우가 아니라면 외부 접근을 모두 차단하는 것을 기본 원칙으로 제시했다. 업무상 외부 접근이 불가피한 경우에도 접근 권한과 조회 가능한 정보를 필요 최소한으로 제한하도록 했다. 대출모집인과 위탁업체 등 외부인력이나 임직원이 사용하는 시스템에 개인신용정보가 불필요하게 보관·조회되고 있지는 않은지도 점검한다.

정보유출에 따른 2차 피해 방지에도 나선다. 당국에 따르면 현재까지 부정결제 등에 직접 활용될 수 있는 민감정보가 유출된 정황은 확인되지 않았다. 다만 이미 유출된 개인정보가 보이스피싱이나 스미싱 등에 악용될 가능성을 고려해 이상금융거래 탐지와 소비자 안내 등 예방조치를 강화하도록 했다. 실제 소비자 피해가 확인되면 신속한 피해구제와 보상이 이뤄지도록 할 방침이다.

이 위원장은 인공지능(AI)을 활용한 해킹 가능성도 언급했다. 그는 “확정적으로 말씀드리기는 어렵지만, AI를 활용한 해킹공격의 가능성도 배제할 수 없다”며 “새로운 유형의, 빈도 높은 사이버 공격이 앞으로도 이어질 수 있는 만큼 ‘AI 공격은 AI로 방어하는’ 보안체계 마련도 서둘러 나가야 한다”고 힘줘 말했다. (☞관련기사 中 AI 악용됐나…신한은행 2.5만명 정보유출에 ‘해킹툴’ 정황)

정부는 망분리 규제의 긴급 완화와 전면 해제를 검토하는 등 제도 개선도 추진하고 있다. 금융회사에는 AI 보안테스트에 적극 참여하고 제로트러스트 원칙에 기반한 보안체계 고도화에 나설 것을 주문했다.

한편 이재명 대통령은 이날 최근 금융기관과 공공기관에서 잇따라 발생한 개인정보 유출 사고와 관련해 “사안에 대한 엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기하라”고 주문했다.