“AI로 방어” “보안체계 우수”…국민·하나은행, 고객정보는 뚫렸다

두 은행 지난해 정보보호에 약 805억원 투자
직원 업무·영업지원시스템서 유출…보안 관리 범위 재점검 필요

13일 국민은행 신관 전경. 연합뉴스

인공지능(AI)을 활용한 방어체계와 정보보호 관리체계의 우수성을 강조해 온 KB금융그룹과 하나은행에서 최근 고객 개인정보 유출 사고가 발생했다. 두 은행이 지난해 정보보호에 투입한 금액만 합쳐 약 805억원에 달하지만, 직원 업무·영업지원시스템을 겨냥한 외부 공격을 막지 못했다.

4일 금융권에 따르면 KB국민은행은 지난 2일 고객 119명의 개인·신용정보가 외부 침해로 유출됐다고 밝혔다. 고객별로 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 유출됐다. 공격 대상은 직원용 모바일 업무지원시스템이었다. 하나은행도 같은 날 영업지원시스템(ODS)을 통해 고객 89명의 주민등록번호와 이름, 연락처 등 개인정보가 유출된 것으로 파악됐다고 밝혔다. 두 은행은 인터넷·모바일뱅킹 등 고객 금융거래 시스템과는 별개라고 설명했다.

이번 사고는 금융사들이 공개해 온 보안 강화 조치의 실효성을 돌아보게 한다. 국민은행의 모회사인 KB금융그룹은 지난 5월 26일 “AI 공격에는 AI로 대응한다”는 원칙을 내세우며 그룹 차원의 선제적 보안체계를 강화한다고 발표했다. 자체 개발한 모의해킹 AI 에이전트와 외부 전문기관의 AI 에이전트를 함께 활용해 실제 공격에 대비한 점검을 진행한다는 내용이었다.

KB금융은 AI와 업무자동화 기술을 결합한 24시간 보안 모니터링 체계도 구축했다고 밝혔다. 그룹 사이버보안센터에서는 공격자 관점에서 취약점을 찾는 레드팀과 위협을 탐지·차단하는 블루팀을 연계하고, 전 계열사의 외부 노출 자산을 상시 점검한다고 설명했다. 취약점 발견부터 개선과 재검증까지 이어지는 관리체계를 내세웠지만 이런 노력이 무색하게 국민은행의 직원용 시스템에서 고객정보가 빠져나갔다.

하나은행은 지난해 11월 20일 금융정보보호 콘퍼런스에서 금융위원장 정보보호 유공자 표창을 받았다. 당시 은행은 다계층 보안 방어체계 마련과 국내외 정보보호 인증 유지, 보안 위협 사전 대응을 위한 평가 방법론 수립 등을 성과로 소개했다. 이호성 하나은행장은 당시 수상 의미를 설명하며 “강화된 정보보호 관리 체계의 우수성이 높은 평가를 받았다”고 강조했다. 침해사고 대응 역량을 내세운 지 1년도 안 돼 고객정보 유출이 확인된 것이다.

하나은행 전경. 연합뉴스

두 은행의 정보보호 분야 투자 규모도 적지 않았다. 공시에 따르면 국민은행의 지난해 정보보호 투자액은 433억2011만원으로, 전년보다 약 1.9% 늘었다. 전체 정보기술(IT) 투자액에서 차지하는 비중은 8.15%였다. 하나은행은 지난해 정보보호에 371억6715만원을 투입했으며 전체 IT 투자 대비 비중은 9.0%였다.

보안 투자와 상시 감시 체계가 실제 사고 탐지로 이어졌는지도 쟁점이다. 국민은행이 국회 정무위원회 소속 박민규 더불어민주당 의원실에 제출한 보고서에 따르면 국민은행에 대한 공격은 지난달 27일 오후 11시 19분쯤 시작돼 29일 오후 6시쯤까지 이어졌다. 은행이 사고를 인지한 것은 30일 오후 7시쯤으로, 최초 공격으로부터 약 68시간이 지난 뒤였다. 공격이 끝난 시점부터 계산해도 약 25시간이 걸렸다. 국민은행은 침입차단시스템으로 공격을 막아 피해를 줄였다고 설명했지만 그룹이 강조해 온 24시간 보안 모니터링 체계가 해당 업무지원시스템의 이상 징후를 적시에 포착했는지는 따져볼 여지가 있다는 지적이 나온다. 

박세환 기자 foryou@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포 및 AI학습 이용 금지