최근 은행권에서 해킹과 개인정보 유출 우려를 낳는 사고가 잇따르면서 금융소비자의 불안이 커지고 있다. 금융기관은 계좌와 거래내역뿐 아니라 주민등록번호, 연락처, 인증정보 등 삶과 직결된 민감한 정보를 보관한다. 이런 정보는 한번 유출되면 비밀번호처럼 간단히 바꾸기 어렵고, 보이스피싱·명의도용·불법 대출 같은 2차 피해로 이어질 수 있다. 사고가 발생할 때마다 해당 기관의 문제로만 볼 일이 아니다. 공공기관과 금융권은 지금 즉시 중요정보 보호체계 전반을 다시 점검해야 한다.
보안의 목표도 바뀌어야 한다. 지금까지는 외부 침입을 막는 데 주로 초점을 맞췄다. 물론 침입 차단은 기본이다. 그러나 공격 기술이 인공지능(AI)을 만나 더 빠르고 정교해지는 현실에서, 모든 침입을 완벽히 막겠다는 생각만으로는 충분하지 않다. 시스템 일부가 침해되더라도 국민과 고객의 핵심 개인정보가 쉽게 드러나지 않도록 설계하는 '피해 최소화형 보안'이 필요하다.
첫째, 개인정보를 처리하는 과정에서 평문 노출을 최소화해야 한다. 많은 시스템은 정보를 저장할 때 암호화하지만, 조회·대조·업무처리 과정에서는 암호를 풀어 원래 정보로 다룬다. 금고에 보관한 서류를 업무를 위해 꺼내 놓는 것과 같다. 바로 이때 서버나 메모리가 공격받으면 정보가 노출될 수 있다. 동형암호는 암호를 풀지 않은 상태에서도 필요한 연산과 대조·검증을 가능하게 하는 기술이다. 쉽게 말해 '금고를 열지 않고도 안의 정보가 맞는지 확인하는 방법'이다. 모든 업무에 일괄 적용하기보다 주민등록번호, 계좌 관련 식별정보, 얼굴 특징정보처럼 유출 피해가 큰 정보부터 단계적으로 적용하는 것이 현실적이다.
둘째, 본인확인은 단일 인증에서 벗어나 단말·USIM·얼굴인증을 결합한 복합인증으로 고도화해야 한다. 문자 인증번호나 비밀번호 하나만으로는 스미싱, 유심 교체, 악성 앱, 원격제어, 딥페이크 공격을 막기 어렵다. 통신사 연계를 통해 USIM 또는 eSIM이 정상인지와 무단 교체 여부를 확인하고, 스마트폰 안의 안전한 보안영역에 저장된 단말 고유키로 등록된 기기인지 확인해야 한다. 여기에 사진·영상·합성영상이 아닌 실제 본인임을 가리는 얼굴 라이브니스와 위·변조 탐지를 더해야 한다. 사람, 통신정보, 단말이 함께 일치해야 인증이 완료되는 구조라야 한 가지 정보가 탈취되어도 피해를 막을 수 있다.
셋째, AI를 공격 도구로만 보지 말고 이상징후 탐지의 방어 수단으로 적극 활용해야 한다. 평소와 다른 접속 시간·장소·기기 변경, 짧은 시간의 반복 인증 실패, 비정상적인 이체 패턴, 대량 조회와 다운로드 등은 사고의 전조일 수 있다. AI 기반 탐지체계는 이러한 신호를 실시간으로 분석해 위험도를 높게 판단한 거래에 추가 인증, 일시 제한, 보안관제 확인을 연결할 수 있다. 다만 AI 판단을 절대시해서는 안 되며, 오탐을 줄이기 위한 지속적인 학습과 전문 인력의 검증이 함께 이뤄져야 한다.
특히 공공기관과 금융권은 보유 정보의 중요도에 따라 보호 수준을 나누고, 핵심 시스템의 권한관리·접속기록·메모리 처리·인증 절차를 실제 공격 상황에 맞춰 점검해야 한다. 정기적인 모의훈련, 외부 전문가 점검, 사고 대응훈련도 형식에 그쳐서는 안 된다. 국민과 고객이 자신의 정보가 어떻게 보호되고, 사고 발생 시 무엇을 할 수 있는지 알 수 있도록 안내와 통지도 더 투명해져야 한다.
디지털 금융과 전자정부의 신뢰는 편리함만으로 만들어지지 않는다. 은행이나 공공서비스를 이용하는 국민이 '혹시 뚫리더라도 내 핵심정보는 지켜질 것'이라는 확신을 가져야 한다. 이번 은행권 사고를 경고음으로 삼아, 평문 개인정보를 최소화하는 데이터 처리, 단말·USIM·얼굴인증을 결합한 복합인증, AI 기반 이상징후 탐지를 함께 갖춘 보안체계로 전환해야 한다. 해킹을 막는 노력에 더해, 해킹을 당하더라도 피해를 최소화하는 구조를 만드는 것이 지금 우리에게 필요한 보안의 기준이다.
변종문 한국인식산업 부대표 bjmon99@wehago.com
