이억원 "보안 관리 부실, CEO 책임 묻겠다"…580여개 금융사 전수점검

제6차 생산적 금융 대전환 회의, 발언하는 이억원 금융위원장(서울=연합뉴스) 김도훈 기자 = 이억원 금융위원장이 2일 서울 여의도 중소기업중앙회에서 열린 제6차 생산적 금융 대전환 회의에서 발언하고 있다. 2026.11.2 superdoo82@yna.co.kr

(서울=연합인포맥스) 윤슬기 기자 = 이억원 금융위원장이 잇따른 금융권 해킹·정보유출 사고와 관련해 중대한 보안 관리 부실이나 대응 소홀이 확인되면 최고경영자(CEO)를 포함한 경영진에게도 엄정하게 책임을 묻겠다고 밝혔다.

금융당국은 전자금융업자와 가상자산사업자까지 포함한 580여개 금융회사의 외부접점과 내부통제 체계를 전수점검하고 향후 사고가 발생하면 점검의 실효성과 취약점 개선 여부까지 따질 방침이다.

이 위원장은 5일 금융보안원 여의도 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 "보안상의 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 결코 용납하지 않겠다"며 "중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 밝혔다.

이 위원장은 당국의 거듭된 점검 주문에도 금융권에서 유사한 사고가 반복되고 있다는 점을 강하게 질타했다.

그는 "상당수 사고는 여전히 관심이 덜한 주변부 시스템의 '약한 고리'를 파고들었고 같은 계열그룹 내에서 사고가 발생했음에도 충분한 대비 없이 추가 사고가 발생한 사례도 있었다"며 "사고가 발생한 뒤에야 허겁지겁 취약점을 찾고 이미 드러난 위험조차 제대로 관리하지 못해 같은 사고를 반복하는 것은 더 이상 용납될 수 없다"고 말했다.

금융위에 따르면 지난 9월 30일부터 이달 3일까지 총 37개사에서 40건의 침해사고가 신고됐고, 약 47만3천건의 정보유출이 확인됐다.

일부 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 회사가 관리하는 자금이 탈취되는 사고도 발생했으며, 신고된 규모는 약 10억원이다.

계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았고 개별 이용자의 자금손실도 현실화하지 않았지만, 유출된 정보가 보이스피싱 등 2차 피해로 이어질 수 있다는 게 당국의 판단이다.

이 위원장은 "특히 CEO와 경영진이 보안을 전문가나 IT 부서만의 영역으로 생각하며 필요한 관심과 투자, 관리 책임을 소홀히 하고 있는 것은 아닌지 냉정하게 돌아봐야 한다"며 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제"라고 강조했다.

이에 금융당국은 대고객 서비스뿐 아니라 직원관리·내부업무·제휴업무 등 외부에서 접근할 수 있는 모든 업무영역을 전수점검한다.

개발·테스트용 시스템과 임시운영 시스템 등 관리가 소홀하기 쉬운 주변부 시스템도 점검 대상에 포함한다.

CEO와 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 역할과 책임, 외부접점의 생성·운영·폐기 과정에서의 의사결정 절차 등 보안 내부통제 운영실태도 함께 살핀다.

점검 과정에서 금전피해나 개인정보 유출로 이어질 수 있는 중요한 취약점이 발견되면 즉시 서비스를 중단하고 외부접근을 차단해야 한다.

즉시 보완이 어렵고 중요한 서비스 제공에 직접 관련된 경우에 한해 대체통제 수단을 갖추고 CEO의 승인을 받아 서비스를 재개할 수 있다.

금융회사는 자체점검에서 문제가 없다고 판단한 경우에도 점검내용과 방식, 판단 근거를 상세히 기록해야 한다. 점검이 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 현장점검에 나선다.

이를 토대로 내년 1분기 중 '보안 내부통제 가이드라인'도 마련한다.

AX 시대 해킹·보이스피싱 대응 간담회(서울=연합뉴스) 이억원 금융위원장이 10일 서울 중구 은행회관에서 열린 AX 시대 해킹·보이스피싱 대응 간담회에서 발언하고 있다. 2026.6.10 [금융위원회 제공. 재판매 및 DB 금지] photo@yna.co.kr

상시 점검 의무도 강화한다.

대형 금융회사부터 취약점 분석·평가를 연 1회에서 2회 이상으로 확대하고, 전자금융거래와 직·간접적으로 관련된 모든 외부접점을 평가 대상에 포함한다.

이 위원장은 소비자 보호와 관련해 "정보유출이 보이스피싱 등 2차 피해로 이어지지 않도록 범죄계좌 탐지·차단 체계도 대폭 강화하겠다"며 "침해사고로 유출된 정보가 또 다른 범죄의 도구로 악용되지 않도록 사전에 차단하고, 피해가 발생하더라도 신속히 확산을 막겠다"고 밝혔다.

금융당국은 다크웹·텔레그램 등에서 탈취정보가 유통되는지 감시하고, 금융권 공동 보이스피싱 정보공유·분석 플랫폼인 'ASAP'를 통해 의심거래의 범죄 연루 가능성을 점수로 제시하는 '피싱지수'를 이달부터 시범 도입한다.

이 위원장은 "보이스피싱 피해자를 두텁게 보호하기 위해 금융회사가 범죄 피해의 일정 부분을 보상하는 무과실책임 법제화도 신속히 추진하겠다"며 "통신사의 책임성을 강화하는 방안도 정부 차원에서 적극 공론화하겠다"고 말했다.

AI를 활용한 공격에 대응하기 위한 보안체계 전환도 예고했다.

이 위원장은 "'AI 공격은 AI로 방어하는' AI 기반 신보안체계를 조속히 구축하겠다"며 "'망분리 규제 전면해제 TF'를 본격 가동하겠다"고 밝혔다.

금융위는 TF에서 데이터 중요도에 따른 보호체계와 모든 접근을 지속적으로 확인·검증하는 '제로트러스트' 등 대체 보안수단을 논의한다.

가상자산사업자와 보험대리점(GA) 등에 전자금융거래법 수준의 보안규율을 적용하고, 클라우드 사업자와 플랫폼 등 제3자에 대한 규율체계를 검토하는 '디지털금융 안전법'도 내년 1분기 중 법안 마련을 추진한다.

이 위원장은 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 "전 금융권 CEO 분들은 절체절명의 위기상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성해 달라"고 당부했다.

sgyoon@yna.co.kr<저작권자 (c) 연합인포맥스, 무단전재 및 재배포 금지, AI 학습 및 활용 금지>