신한은행과 KB국민은행 등 금융회사 16곳에서 해킹 등 침해사고가 발생해 개인정보 약 10만건이 유출된 것으로 확인됐다. 금융당국이 금융회사 555곳을 긴급 점검한 결과 130곳에서 보안관리 미흡 사항도 드러났다. 금융위원회는 금융권 보안체계를 전면 재점검하고 인공지능(AI) 기반 공동 대응체계 구축에 나선다.
금융위원회는 14일 신진창 사무처장 주재로 관계기관 합동 '제2차 긴급 상황대응 회의'를 개최하고 금융권 침해사고 현황과 보안 점검 결과, 제도개선 방안을 발표했다.
금융위에 따르면 침해사고가 확인된 금융회사는 신한·국민·부산·하나은행과 예가람·웰컴·DB·OK저축은행 등 총 16곳이다. 여신전문금융업, 상호금융, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 금융권 전반에서 사고가 발생했다.
현재까지 확인된 개인정보 유출 규모는 약 10만건으로 성명과 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 계좌번호와 카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다. 금융당국은 추가 침해 여부를 조사하고 있어 피해 금융회사가 늘어날 가능성도 있다.
금융권의 기본적인 보안관리 부실도 드러났다. 금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 보안항목을 점검한 결과 130곳(23.4%)이 미흡 사항을 보고했다. 주요 문제는 최신 보안패치 미적용, 기술지원이 종료된 노후 시스템 관리 미흡, 24시간 보안관제 체계 미구축, 외부 접속 시스템의 인증·접근통제 부실 등이다. 특히 전자금융업과 온라인투자연계금융업에서 상대적으로 많은 미흡 사항이 발견됐다.
금융위는 금융회사 전산시스템의 외부 접점을 전수 점검하고 인증·접근통제 체계를 강화할 방침이다. 최고경영자(CEO)와 정보보호최고책임자(CISO) 등의 보안관리 책임도 명확히 한다.
금융권 공동 대응체계도 개편한다. 현재 금융회사 자체 보안관제에서 발견한 위협정보는 금융권 통합관제시스템(FIRST)을 통해 공유되지 않고 있다. 금융위는 개별 금융회사가 탐지한 공격정보까지 공유하도록 시스템을 개선하고, AI를 활용해 외부 노출 시스템과 모바일 애플리케이션 등의 취약점을 탐지하는 인프라 구축을 추진한다.
대형 금융회사의 보안 취약점 점검 주기도 현행 연 1회에서 연 2회 이상으로 확대하는 방안을 추진한다. 다만 외부 홈페이지는 현재도 연 2회 점검 대상이다. 보안 역량이 부족한 중소형 금융회사에는 AI 기반 공동 보안관제 체계 구축을 검토한다.
신진창 금융위 사무처장은 “수차례 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분”이라며 “AI 공격은 AI로 방어하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 속도감 있게 추진하겠다”고 밝혔다.
류태웅 기자 bigheroryu@etnews.com
