은행권의 인공지능(AI) 활용이 보안 영역으로 확산하고 있다. AI로 금융 소프트웨어(SW)의 실제 공격 가능성까지 검증하며 위험을 조기에 가려내는 방향으로 보안체계가 재편되고 있다.
24일 금융권에 따르면 KB국민은행은 AI를 활용해 금융 SW 취약점을 분석하고 실제 공격으로 이어질 수 있는지 검증하는 체계 도입을 추진하고 있다. 소스코드가 없어도 프로그램 자체를 분석해 취약점을 찾고, 예상 공격 절차와 영향을 분석한 뒤 공격 재현 코드를 만들어 실제 악용 가능성을 확인하는 방식이다. 보안패치 전후 프로그램의 변경 부분도 분석한다.
기존 취약점 진단이 문제를 찾는 데 무게를 뒀다면 공격 재현 여부까지 확인해 대응 판단의 정확도를 높이는 것이 핵심이다. 소스코드를 확보하기 어려운 SW까지 분석 범위를 넓힐 수 있고, 반복적인 취약점 분석과 공격 재현을 자동화해 보안인력이 금융서비스에 미칠 영향이 큰 위험 판단에 집중할 여지도 커진다.
다른 은행도 개발·운영 단계에서 위험을 조기에 차단하는 방향으로 보안체계를 고도화하고 있다. 신한은행은 오픈소스 취약점 점검체계를 재구축하면서 바이너리 분석을 지원하고 치명적인 취약점이 발견되면 개발·배포시스템과 연계해 프로그램 배포를 자동 차단하도록 했다. 실제 악용 가능성을 판단하는 지표와 실제 공격에 사용된 취약점 정보도 함께 활용할 계획이다.
NH농협은행은 사용자와 계정, 시스템의 행위를 분석해 정상적인 활동으로 위장한 공격을 식별하는 체계를 고도화하고 있다. 향후 AI 기반 보안관제와 AI 레드티밍을 활용한 공격 시뮬레이션도 추진할 계획이다. 카카오뱅크 역시 AI 에이전트를 활용한 모의해킹 체계와 자체 모의해킹 도구 개발을 추진하고 있다.
은행마다 적용 영역은 다르지만 개발 단계에서 위험한 SW의 배포를 막고, 운영 과정의 이상행위를 분석하며, SW 자체의 실제 공격 가능성을 검증하는 방향으로 방어체계가 다층화하고 있다.
금융당국도 같은 방향으로 제도를 정비하고 있다. 금융위원회는 지난 5월 보안 목적 AI 활용을 위한 망분리 규제 완화 테스트를 추진한 데 이어 7월 AI를 활용한 상시 취약점 점검과 자동화된 침투시험을 지원하는 방안을 내놨다. 모든 취약점을 일률적으로 제거하기보다 실제 악용 가능성과 핵심 금융업무 영향, 외부 노출 정도 등을 고려해 패치 우선순위를 정할 필요가 있다고 제시했다.
이 같은 변화는 금융거래의 디지털 의존도가 높아지는 상황과 맞물린다. 한국은행에 따르면 지난해 간편지급 이용 규모는 하루 평균 3557만건, 1조1053억원으로 전년보다 각각 14.9%, 14.6% 늘었다. 애플리케이션과 외부 SW 등 디지털 인프라에 대한 의존도가 커질수록 시스템 취약점이 장애나 침해사고로 이어졌을 때 소비자와 금융회사에 미치는 영향도 커진다.
금융권 관계자는 “은행권의 보안 AI 전환은 단순한 업무 자동화보다 디지털금융 확대 속도에 맞춰 실제 위험을 더 빨리 찾아내고 통제할 역량을 확보하는 데 의미가 있다”며 “AI·클라우드 활용이 확대될수록 이를 안전하게 운영하는 능력도 금융사의 디지털 경쟁력을 좌우하게 될 것”이라고 말했다.
류태웅 기자 bigheroryu@etnews.com
