금융사 16곳 10만건 정보유출…130곳 보안관리 ‘미흡’

14일 서울 시내의 새마을금고 지점이 보이고 있다. 금융권에 따르면 새마을금고는 해킹 공격으로 고객 400여 명의 개인정보가 유출된 사실을 확인하고 금융당국에 이 같은 내용을 신고했다. 유출 정보에는 이름과 연락처뿐 아니라 계좌번호와 잔액 등 금융정보가 포함된 것으로 파악됐다. 뉴시스

신한은행 해킹 사고를 전후해 금융권에서 확인된 침해사고가 16개 회사로 늘었다. 유출된 정보는 약 10만 건으로 파악됐다. 금융당국은 인공지능(AI)을 활용한 해킹 위협에 대응하기 위해 전 금융권의 보안체계와 관리시스템을 전수점검하기로 했다.

금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 ‘제2차 긴급 상황대응 회의’를 개최했다. 금융감독원과 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등이 참석해 침해사고 현황과 대응 방안을 논의했다.

금융위에 따르면 사고가 확인된 금융회사는 기존 11곳에서 5곳 추가된 16곳이다. 은행과 저축은행뿐 아니라 전자금융업과 가상자산 업권에서도 피해가 새롭게 파악됐다.

업권별로는 은행 4곳(신한·국민·부산·하나), 저축은행 4곳(예가람·웰컴·디비·오케이), 여신전문금융회사 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융회사 2곳(PFCT·모우다)이다. 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅, 상호금융의 새마을금고중앙회도 포함됐다.

유출된 정보는 성명과 연락처, 주민등록번호, 이메일 등 약 10만 건이다. 다만 계좌번호나 카드번호 등 부정결제에 직접 이용될 수 있는 정보의 유출은 현재까지 확인되지 않았다고 금융위는 설명했다.

금융회사들의 기본적인 보안관리에서도 미흡한 부분이 드러났다. 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 체크리스트를 점검한 결과, 425곳은 적정하다고 보고했고 130곳은 미흡 사항이 있다고 밝혔다.

주요 문제는 최신 보안패치 미적용, 제조사 기술지원이 종료된 시스템의 관리 부실, 24시간 보안관제 체계 미구축, 공격표면 관리 미흡 등이었다. 상대적으로 보안 대응 역량이 부족한 전자금융업과 온라인투자연계금융업에서 미흡 사항이 많이 발견됐다.

금융당국은 외부접점과 인증체계, 내부통제 등 보안관리 전반을 전수점검하고 금융회사별 대응계획을 마련하도록 할 방침이다.

신진창 금융위 사무처장이 6일 오전 서울 종로구 정부서울청사에서 열린 금융.공공기관 개인정보 유출 관련 회의에 첨석해 앉아 있다. 뉴시스

우선 전산시스템이 외부와 연결되는 모든 접점을 목록으로 관리하고 변경 사항을 지속적으로 반영하도록 한다. 각 접점의 인증 방식과 접근 권한도 명확히 설정해 엄격하게 관리할 계획이다.

보안체계 운영 과정에서 최고경영자(CEO), 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 보고체계와 책임범위도 분명히 하도록 지도·감독할 예정이다.

금융회사들이 해킹 위협을 조기에 파악하고 공동으로 대응할 수 있도록 정보공유 체계도 개선한다.

현재 금감원과 금융보안원이 확보한 위협 정보는 통합관제시스템인 FIRST 등을 통해 금융권에 전달되고 있다. 반면 개별 금융회사가 자체 보안관제 과정에서 발견한 정보는 공유되지 않고 있다.

금융당국은 금융회사가 직접 파악한 위협 정보도 통합관제시스템 등을 통해 공유할 수 있도록 시스템을 보완할 계획이다. 금융회사가 AI 해킹 위협의 수준을 직관적으로 파악하고 대응할 수 있도록 위협 수준 정보체계도 신속히 마련한다.

AI 기반 취약점 점검 인프라 구축도 추진한다. 공격자의 관점에서 외부 노출자산과 내부 소스코드, 모바일 앱 등의 취약점을 탐지할 수 있도록 점검 기반을 갖춘다는 구상이다.

금융회사의 취약점 점검·평가 주기는 연 2회 이상으로 확대한다. 중요한 외부접점 등을 필수 점검대상에 포함하고, 긴급한 경우 수시 점검할 수 있는 근거를 마련하는 방안도 검토·추진한다.

AI 보안위협에 대응할 인력과 재원이 부족한 중소형 금융회사에 대해서는 지원방안을 조속히 마련할 예정이다.

신 처장은 롯데카드 정보유출과 미토스 쇼크 등을 계기로 여러 차례 전수점검과 관리 강화를 주문했지만, 금융회사에서 기본적인 보안관리가 지켜지지 않은 사례가 발견됐다는 점을 지적했다. 이어 “외부접점과 인증 관리뿐 아니라 전 금융권의 보안관제 체계, CEO와 이사회의 책임성까지 철저히 재점검하고 근본적인 제도 개선을 추진하겠다”고 밝혔다.

박세환 기자 foryou@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포 및 AI학습 이용 금지