금융권 16곳서 개인정보 10만건 유출···동일범 소행 여부 조사

신한은행 사고 전후 은행·저축은행 등 전 업권 확산···추가 발생 가능성전 금융권 555곳 점검서 130곳 미흡···금융당국 보안체계 전수점검 추진

사진=강민석 기자 kms@newsway.co.kr

신한은행을 비롯한 금융회사 16곳에서 침해사고가 확인된 가운데 현재까지 파악된 정보유출 규모가 약 10만건으로 집계됐다. 금융당국은 각 사고의 연관성과 동일 공격 주체 여부, 인공지능(AI)을 활용한 해킹 가능성 등을 조사하고 있다. 추가 침해 여부를 확인 중인 금융회사도 있어 당국은 사고 발생 업체는 더 늘어날 수 있다고 봤다.

14일 금융위원회에 따르면 신진창 사무처장은 이날 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청 등 관계기관과 제2차 긴급 상황대응 회의를 열었다.

현재까지 사고가 확인된 금융회사는 은행 4곳(신한·KB국민·부산·하나), 저축은행 4곳(예가람·웰컴·DB·OK), 여신전문금융업 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융업 2곳(PFCT·모우다), 전자금융업 1곳(브라이트픽스), 가상자산사업자 2곳(스트리미·프라뱅), 상호금융 1곳(새마을금고중앙회) 등 총 16곳이다.

이들 금융회사에서 현재까지 확인된 정보유출 규모는 약 10만건이다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 금융당국은 계좌번호나 카드번호 등 직접적인 부정결제로 이어질 우려가 있는 정보의 유출은 확인되지 않았다고 설명했다.

금융당국은 금감원과 금융보안원의 현장조사를 바탕으로 각 사고의 침해 경로와 공격 방식을 파악하고 있다. 사고 간 연관성과 동일 공격 주체 여부, AI를 활용한 해킹 가능성 등도 확인 중이다. 금융회사들은 당국이 공유한 공격자 인터넷프로토콜(IP) 정보를 토대로 추가 침해 여부를 점검하고 있어 사고 발생 업체 수는 더 늘어날 수 있는 상황이다.

금융당국은 사고가 신고된 회사들에 공격자 IP 차단과 보안패치 적용, 관련 서비스 중단 등 추가 침해 방지 조치를 시행하도록 했다. 개인정보 유출 사실과 대응 요령을 고객에게 안내하는 등 소비자 보호 조치도 이행하도록 관리·감독하고 있다.

금융권 130곳 보안 미흡···패치·관제체계 등 취약점 확인

금융당국이 전 금융권 555개사를 대상으로 실시한 보안 체크리스트 점검에서는 130개사가 미흡사항을 보고했다. 지난 8일까지 진행한 이번 점검은 12개 항목을 대상으로 이뤄졌으며, 425개사는 점검 결과를 '적정'으로 제출했다.

미흡사항이 발견된 회사들은 대부분 보안패치나 보안관제체계 관련 1~2개 항목에서 보완이 필요한 것으로 나타났다. 상대적으로 보안역량이 약한 전자금융업과 온라인투자연계금융업에서 비교적 많은 미흡사항이 확인됐다.

주요 취약요인으로는 최신 보안패치 미적용, 제조사의 기술지원이 종료된 시스템 관리 미흡, 24시간 실시간 보안관제체계 미구축 등이 꼽혔다. 외부 시스템의 인증·인가 누락이나 중요 서비스에 다중인증(MFA)을 적용하지 않는 등 외부 공격에 노출된 접점 관리가 미흡한 사례도 보고됐다.

금융당국은 공격자로 확인된 IP를 우선 차단하고, 미흡사항이 발견된 회사에는 보안패치 적용과 노후 장비 교체, 보안관제 인력·설비 확충, 인증범위 확대와 접근통제 강화 등 보완조치를 신속하게 이행하도록 지도하고 있다.

금융회사 보안체계 전수점검···취약점 평가 주기 확대

금융당국은 이번 점검에서 확인된 취약요인이 반복되지 않도록 금융회사 보안체계와 관리시스템 전반을 전수점검할 계획이다. 전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화하고, 각 접점의 인증과 접근권한을 엄격하게 관리하도록 할 방침이다. 최고경영자(CEO)와 정보보호최고책임자(CISO), 정보기술최고책임자(CIO)의 보고체계와 책임범위도 명확히 하도록 지도·감독한다.

금융회사 간 해킹 위협정보 공유체계도 개선한다. 현재 금감원과 금융보안원이 파악한 위협정보는 통합관제시스템(FIRST) 등을 통해 전 금융권에 전파되고 있지만, 개별 금융회사가 자체 보안관제 과정에서 확인한 정보는 공유되지 않고 있다는 게 금융당국의 설명이다.

이에 금융회사가 자체적으로 확인한 위협정보도 통합관제시스템 등을 통해 공유할 수 있도록 시스템을 개선하고, 금융회사가 침해 위협 수준을 파악해 대응할 수 있는 AI 기반 정보체계를 마련할 계획이다. 외부 노출자산과 내부 소스코드, 모바일 앱 등의 취약점을 공격자 관점에서 탐지할 수 있는 AI 기반 점검 인프라도 구축을 추진한다.

취약점 점검·평가 주기도 확대한다. 현행 전자금융거래법과 전자금융감독규정에 따라 금융회사와 전자금융업자는 연 1회, 외부 홈페이지는 연 2회 취약점 점검·평가를 실시해야 한다. 금융당국은 외부 접점이 넓고 고객 수가 많은 대형 금융회사부터 점검 주기를 연 2회 이상으로 확대하고, 주요 외부 접점을 필수 점검대상에 포함하는 방안을 추진한다. 긴급한 필요가 있을 때 수시점검을 할 수 있는 근거도 마련하는 방안을 검토한다.

중소형 금융회사에 대한 지원도 강화한다. 금융보안원과 업권별 협회·중앙회가 AI 기반 공동 보안관제 시스템 구축을 검토하고, AI 침해위협에 대비한 공격표면 점검과 중소형 금융회사 맞춤형 보안 안내서 마련 등을 추진할 예정이다. 전자금융거래법 적용 대상에서 제외돼 상대적으로 관리가 어려웠던 대부업과 보험대리점(GA) 등에 대해서도 보안 강화 방안을 검토한다.

신진창 사무처장은 "금융회사 외부 접점과 인증관리뿐 아니라 전 금융권의 보안관제체계, CEO와 이사회의 책임성 등 보안체계 전반을 재점검하고 근본적인 제도개선을 추진하겠다"라며 "AI 보안위협 확대에 대비해 'AI 공격은 AI로 방어'하는 체계를 확립할 수 있도록 망분리 규제 완화 등 제도개선도 속도감 있게 추진하겠다"고 덧붙였다.

불법사금융 피해에 노출된 경우 금융감독원(1332)에 신고하여 필요한 도움을 받을 수 있으며, 과다채무 등으로 어려움을 겪는 경우에 서민금융진흥원(1397) 또는 신용회복위원회(1600-5500)에서 도움을 받을 수 있습니다.

※ 연이율 60% 초과 대부계약은 원금과 이자 모두 무효입니다.