[현장] 은행 연쇄해킹에 드러난 외부접점 허점…금융硏, 상시 검증 제안 [금융안전망 점검]

오픈뱅킹·마이데이터 연계 등 외부API 취약고리로 지적
망분리 완화로 보안 수단 선택권 확대…경영진 책임·제재 기준 정비 과제
자율보안 시대 ‘운영복원력’ 중요성 강조, 서비스 복구와 피해 구제까지

4일 오후 은행회관에서 열린 금융연구원의 '디지털 전환에 따른 금융소비자보호 및 금융보안 과제' 세미나에서 패널토론이 진행되고 있다. / 사진=장호성 기자

[한국금융신문 장호성 기자] 은행권 연쇄 해킹으로 대출 조회와 영업 지원에 쓰이는 시스템에서 고객정보가 잇따라 유출되자, 외부에서 접속할 수 있는 은행 시스템의 인증 절차와 접근 권한을 상시 검증해야 한다는 제언이 나왔다.

망분리 규제 완화로 금융사와 외부 사업자의 연결이 늘어나는 만큼, 공격을 조기에 탐지하고 침해가 발생해도 핵심 서비스를 유지·복구할 수 있는 체계를 갖춰야 한다는 지적이다.

서병호 한국금융연구원 선임연구위원과 천승환 연구위원은 4일 서울 중구 은행회관에서 열린 ‘디지털전환에 따른 금융소비자 보호 및 금융보안 과제’ 세미나에서 이같이 제안했다. 발제진은 금융사가 위험 수준에 맞춰 보안 수단을 선택할 수 있도록 하되, 감독당국은 실제 방어·복구 역량을 검증하고 경영진의 책임 범위를 명확히 해야 한다고 봤다.

대출모집인·직원용 시스템 침해…외부와 연결된 IT 자산부터 파악

망분리 완화 이후 보안통제 주요 과제 / 자료=한국금융연구원

9월 말 이후 신한은행의 대출모집인용 조회 서비스와 KB국민은행의 직원용 모바일 업무지원시스템, 하나은행의 영업지원시스템에서 고객정보가 유출됐다. 금융위원회가 지난달 공개한 금융권 자체점검에서도 555개사 중 130개사가 보완이 필요한 항목을 보고했다. 외부 시스템의 인증·인가 누락, 보안패치 미적용, 24시간 관제체계 미구축 등이 대표적이었다.

발제진은 업무망을 인터넷망과 분리하는 기존 체계가 기본 방어선으로 기능해 왔지만, 외부 연계 서비스가 늘면서 어떤 시스템을 외부에 열어 두고 누가 접속 권한을 갖는지 파악하는 일이 중요해졌다고 진단했다. 생성형 AI로 취약점 탐색과 공격이 빨라지는 만큼 외부에 노출된 IT 자산 목록을 계속 갱신하고, 접근통제가 작동하는지 수시로 검증해야 한다는 것이다.

보안업체 맨디언트가 실제 공격에 쓰인 취약점을 분석한 결과, 평균 악용 소요시간은 2021~2022년 32일에서 2023년 5일로 줄었다. 2023년 평균은 이상치를 제외한 값이다. 보안패치가 나오기 전에 공격에 쓰인 ‘제로데이’ 취약점 비중은 같은 기간 62%에서 70%로 높아졌다.

오픈뱅킹과 마이데이터처럼 여러 기관이 연결된 서비스는 한 곳의 침해가 다른 곳으로 번질 수 있다. 세미나에서는 오픈뱅킹과 마이데이터의 연계 접점을 단일 API로 관리하고, 외부 정보통신기술(ICT) 사업자에서 발생한 사고가 은행으로 번지지 않도록 위탁·연계 구간을 통제하는 방안이 제시됐다. 공격을 받은 뒤에도 핵심 업무를 이어가고 중단된 서비스를 복구할 수 있는지 따지는 ‘운영복원력’ 평가와 중소형 금융사를 위한 AI 공동관제도 제안됐다.

망분리 완화 속도 내는데…사고 책임 강화는 법 개정 과제

금융위는 지난 5월 보안 목적의 AI 활용을 위해 망분리 규제를 긴급 완화하는 방침을 발표했고, 9월 2차 완화 세부안을 확정했다. 보안 부실에 대한 제재 강화는 법 개정이 필요한 사안이다. 이찬진 금융감독원장은 3일 임원회의에서 사고 금융사의 경영진 책임을 엄중히 묻고, 기본 통제 부실이나 취약점 방치로 해킹이 발생하면 매출액의 3%를 과징금으로 부과할 수 있도록 전자금융거래법 개정을 지원하겠다고 밝혔다.

이날 발제에서는 미국·유럽연합(EU)·호주 등이 여러 층의 통제 수단을 조합해 금융보안을 관리하는 사례도 소개됐다. 국내에서도 당국이 금융사가 지켜야 할 보안 목표와 위험 기준을 제시하고, 개별 금융사가 보안 수단을 선택하도록 하자는 제안이 나왔다. 경영진의 책임과 제재 상한을 강화하되, 실제 제재 수위에는 의무 위반의 정도와 피해를 줄이기 위한 조치를 반영하는 방식이다.

자율보안 전환기 ‘과정중심’ 책임 제안…피싱 오탐도 과제

주제발표 후 이어진 토론에서 패널로 참석한 오지영 우리은행 금융소비자보호그룹 상무는 자율보안 전환에 맞춰 책임 기준도 서둘러 마련해야 한다고 말했다.

그는 제재 수위를 판단할 때 평소 위험관리의 적정성과 사고 직후 보고의 신속성, 피해 확산을 막기 위한 조치까지 살피는 ‘과정 중심의 합리적 책임구조’를 제안했다. 은행도 보안예산이 현장에서 필요한 곳에 실제로 쓰이는지 점검해야 한다고 덧붙였다.

오 상무는 AI가 스스로 판단하고 실행하는 업무가 늘면 직원이 처리 과정을 실시간으로 모두 확인하거나 판단 근거를 사후에 입증하기가 어려워진다고 지적했다. 고객에게 가장 적합한 상품을 권유하도록 기준을 마련하고, 고객의 선택을 왜곡하는 알고리즘이나 취약계층에 불리한 편향이 있는지 정기적으로 살펴야 한다고 했다.

보이스피싱 예방을 위해 의심 계좌를 막았다가 정상 거래로 드러나는 ‘오탐 딜레마’도 거론했다. 일정 요건을 갖춰 선제 조치를 한 금융사에는 면책 근거를 마련하고, 오탐으로 거래가 막힌 고객은 신속히 구제하자는 제안이다. 임시조치 창구를 통합하고 통신사 등과 피해 예방·대응 책임을 나눌 필요성도 제기했다.

한편 금융위는 5일 이억원 위원장 주재로 5대 시중은행장 등이 참석하는 AI 보안위협 대응 간담회를 열 예정이다. 은행권의 보안조치 이행 상황과 AI를 활용한 해킹·보이스피싱 대응 방안이 논의될 것으로 보인다.

장호성 한국금융신문 기자 hs6776@fntimes.com