금융권 37곳서 정보 47만 건 유출…부실 대응 땐 CEO 책임

고객·임직원 정보 47만3000건 유출…회사 관리 자금 약 10억원 탈취
금융당국, 580여 개사 보안 점검…중대 관리 부실엔 경영진 책임 추궁

(시사저널=김규림 기자)

이억원 금융위원장(왼쪽)이 5일 서울 금융보안원 여의도 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에 참석하고 있다. ⓒ연합뉴스

최근 한 달여간 금융권 37개사에서 약 47만3000건의 정보가 유출된 것으로 파악됐다. 일부 업체에서는 회사가 관리하던 자금 약 10억원도 탈취됐다. 금융당국은 금융권 전반의 보안 실태를 점검하고, 중대한 관리 부실이나 대응 소홀이 확인되면 최고경영자(CEO)를 포함한 경영진에게 책임을 묻겠다는 방침이다.

금융위원회는 5일 이억원 금융위원장 주재로 금융감독원, 금융보안원, 금융권 협회장 및 관계부처가 참석한 간담회를 열고 금융권 침해사고 현황과 보안체계 개선 방안을 논의했다. 금융위에 따르면, 지난 9월30일 첫 침해사고가 확인된 이후 이달 3일까지 37개사에서 총 40건의 침해신고가 접수됐다. 업권별로는 전자금융업 10개사, 금융투자업과 저축은행 각 5개사, 은행과 온라인투자연계금융업(온투업) 각 4개사, 보험업과 가상자산업 각 3개사, 여신전문금융업 2개사, 상호금융업 1개사다.

유출된 정보에는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐다. 다만 계좌 비밀번호 등 부정 결제에 악용될 우려가 있는 정보의 유출은 아직 확인되지 않았다는 게 금융위 설명이다. 자금 탈취는 주로 소규모 가상자산거래소와 전자금융업체, 온투업체에서 발생했다. 가상자산 지갑인 핫월렛에 보관된 가상자산, 소비성 포인트, 온투업 예치금 등 회사가 관리하는 자금이 대상이었다. 다만 개별 이용자 자금손실은 아직 현실화하지는 않은 것으로 파악되고 있다.

금융당국은 금융권 전반의 보안 취약점을 확인하기 위해 약 580개사를 대상으로 전수점검에 나선다. 은행·증권·보험 등 기존 금융회사뿐 아니라 전자금융업체와 온투업체, 가상자산업체도 점검 대상에 포함된다. 외부 인터넷과 연결된 전산시스템의 보안 상태와 함께 CEO, 정보보호최고책임자(CISO) 등의 역할 및 내부통제 운영 실태도 살핀다. 관리대장에 등록된 시스템은 이달 30일까지, 미등록 시스템과 내부통제체계 조사는 연말까지 점검을 마칠 계획이다.

금융회사가 자체 점검을 진행하되 점검이 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 현장점검에 나설 방침이다. 이억원 위원장은 "보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다"고 밝혔다. 이어 중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다고 강조했다.

사이버 공격에 공동 대응하기 위한 보안체계도 강화한다. 금융당국은 금융권 통합관제시스템(FIRST)을 고도화해 다음 달 시범 운영하고, 내년 1분기부터 전 금융권이 활용할 수 있도록 할 예정이다. 대형 금융회사의 보안 취약점 분석·평가 주기는 연 2회로 단축하고, 중소형 금융회사에는 금융보안원의 인공지능(AI) 기반 방어 서비스를 지원한다. 가상자산업체가 침해사고 발생 시 금융감독원과 금융보안원에도 즉시 신고하도록 하는 지침도 이달 중 마련한다.

금융소비자의 2차 피해를 막기 위한 조치도 추진한다. 다크웹 등을 통한 개인정보 유통을 감시하고, 금융권 공동 보이스피싱 정보공유·분석플랫폼(ASAP)에 AI 기반 의심 거래 탐지 기능을 도입할 계획이다. 아울러 금융당국은 AI 활용을 확대하기 위한 망 분리 규제 개선을 추진하는 한편, 가상자산업체와 법인보험대리점(GA), 클라우드 사업자 등으로 보안 규율을 확대하는 '디지털금융안전법'을 내년 1분기 중 마련할 계획이다.