지난달 1일 신한은행에서 시작된 해킹 사고가 한 달째 이어지며 금융권 전반으로 번지고 있다. KB국민·하나은행에 이어 저축은행과 캐피탈, 최근에는 증권사와 가상자산거래소까지 뚫렸다. 금융위원회에 따르면 지난달 중순까지 16개 금융회사에서 약 10만건의 개인정보가 새 나갔다. 국가안보실은 지난달 28일 긴급점검회의를 열고 2차 피해 차단을 주문했다.
당국은 아직 고객 자금이 빠져나간 사례는 없다고 설명한다. 안심하기는 이르다. 이름과 주소, 연락처는 비밀번호처럼 바꿀 수 없다. 다른 경로로 나간 정보와 결합하면 맞춤형 금융사기의 재료가 된다. 한 저축은행은 나흘 만에 또 뚫려 계좌번호와 잔액까지 유출됐다. 내 금융 상황을 아는 상대의 전화는 의심하기 어렵다.
공격도 끝나지 않았다. 인공지능(AI) 도구가 취약점 탐색을 자동화하면서 공격 비용은 낮아지고 시도는 일상이 됐다. 금융회사 555곳 자체 점검에서 130곳이 보안 미흡을 보고했다. 2차 피해가 현실이 되면 손실은 소비자가 떠안고, 금융업의 자산인 신뢰는 비대면 금융 전반에서 흔들린다.
문제는 대응 시계다. 당국이 정한 2차 피해 특별대응 기간은 이번 주 끝난다. 유출 정보는 수개월, 수년 뒤에도 범죄에 쓰인다. 한 달짜리 대응으로는 부족하다.
금융당국은 특별대응 기간을 연장하고, 유출 고객에 대한 이상거래탐지(FDS) 감시를 상시 체계로 바꿔야 한다. 금융회사도 안심차단서비스 가입을 안내하는 데 그치지 말고, 유출 고객 명의의 비대면 대출과 계좌 개설에는 추가 본인확인을 기본으로 적용할 필요가 있다. AI 공격에는 AI 상시 점검으로 맞서야 한다. 우리은행이 AI 기반 취약점 점검을 서둘러 도입해 이번 연쇄 해킹에서 유출을 피한 사례는 참고할 만하다.
'망양보뢰'라는 말이 있다. 양을 잃은 뒤에라도 우리를 고치면 더 잃지 않는다는 뜻이다. 이미 새 나간 정보는 되돌릴 수 없다. 남은 과제는 그 정보가 고객의 돈으로 이어지지 않도록 막는 일이다.
류태웅 기자 bigheroryu@etnews.com
