'2만5000명 대 0명' 해킹 피해 왜 달랐나… 은행별 보안 격차 주목

신한 2.5만 명 유출… 우리·농협 피해 없어
노출 범위·인증·이상접속 차단 체계 차이
"AI 공격 고도화… 접근통제 체계 정교화 필요"

4일 서울 서초구 서울고속버스터미널에 개인정보가 유출된 신한·KB국민·하나 은행의 현금 자동 입출금기(ATM) 코너가 보이고 있다. 뉴시스

국내 금융사를 덮친 전방위적인 해킹 공격을 계기로 보안체계의 '사각지대'에 대한 우려가 커지고 있다. 비슷한 시기에 유사한 공격을 받았어도 외부 노출 범위와 인증 방식, 이상접속 차단 여부 등에 따라 피해 격차가 수만 명까지 벌어졌기 때문이다. 정보 보안에 매년 수백억 원의 예산을 들이고 있지만, 각 금융사가 접근 통제체계를 얼마나 촘촘하게 구축하고 관리했는지가 피해 규모 차이에 영향을 미친 요인으로 꼽힌다.

4일 금융권에 따르면 이번 공격으로 신한은행에서는 약 2만5,000명의 고객 정보가 외부로 유출됐다. 이름과 연락처는 물론 대출 산출한도, 일부 주민등록번호와 연계정보(CI)까지 포함됐다. 당국과 은행은 외부 공격자가 정상 인증 절차를 우회해 대출 관련 간편조회 서비스에 접속한 것으로 보고 있다.

KB국민은행에서도 직원용 모바일 업무지원 시스템이 공격받아 고객과 임직원 119명의 개인정보가 유출됐다. 하나은행 역시 영업지원시스템을 겨냥한 외부 침입으로 고객 89명의 개인정보가 빠져나갔다. 반면 우리은행과 NH농협은행에도 유사한 접근 시도가 있었지만 현재까지 개인정보 유출 피해는 확인되지 않았다. 금융당국은 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해 사고에서 동일 공격자의 인터넷주소(IP)를 발견했다.

은행별 정보보호 투자 규모에서는 차이가 났다. 올해 신한은행의 정보보호 예산은 405억9,100만 원으로, 5대 시중은행 가운데 가장 적었다. KB국민은행은 860억7,500만 원으로 가장 많았고, 농협은행 801억3,400만 원, 하나은행 636억3,500만 원, 우리은행 615억6,600만 원 순이었다.

다만 투자 총액만을 두고 피해 차이를 설명하기는 어렵다는 지적이다. 업계에서는 각 은행의 보안체계가 개별 업무시스템의 취약점을 얼마나 효과적으로 보완했는지에 주목하고 있다. 신한금융은 올해 발간한 지속가능경영보고서를 통해 취약점 진단과 모의해킹, 인공지능(AI) 기반 통합 보안관제 등을 통해 보안 역량을 강화했다고 밝혔지만, 이번 공격에 이용된 취약점을 사전에 걸러내지는 못했다.

우리은행은 대출모집인이 접수한 대출 건을 지정된 태블릿 단말기에서만 확인할 수 있도록 하고 업무시스템 접속 과정에도 별도의 인증서와 생체인증을 적용하고 있다. 우리은행 관계자는 "아이디와 비밀번호만으로는 업무시스템에 접속할 수 없다"며 "대출모집인 역시 같은 인증 절차를 거치기 때문에 외부에서 계정정보만 확보해 접근하기는 어렵다"고 설명했다.

NH농협은행은 대출모집인에게 내부망 접속 권한이나 경로 자체를 제공하지 않고 있다. 대출모집인이 유치한 대출 건은 영업점으로 넘겨 내부에서 처리하는 방식이다. 동일한 IP에서 반복적으로 로그인 시도가 발생할 경우 이를 자동 차단하도록 사전에 마련한 접속 차단 체계도 이번 공격 과정에서 작동한 것으로 파악됐다.

금융권에서는 AI를 활용한 공격 수법이 고도화되는 만큼 기존 접근통제와 차단 체계도 한층 정교해져야 한다는 지적이 나온다. 하지만 현행 망분리 규제에 따라 외부 AI 기술을 금융사 내부 보안체계에 적용하는 데 여전히 제약이 있는 상황이다. 업계 관계자는 "AI 공격을 AI로 방어하려면 관련 기술을 금융사 내부 보안체계에 적용할 수 있도록 규제를 완화할 필요가 있다"고 말했다.

김민순 기자 soon@hankookilbo.com