[더팩트 | 김태환 기자] 최근 한 달여간 금융권에서 잇따른 해킹 사고로 약 47만3000건의 정보가 유출된 것으로 나타났다. 금융회사 37곳에서 총 40건의 침해사고가 신고됐으며, 일부 업체에서는 약 10억원의 자금 탈취 피해도 발생했다. 금융당국은 추가 피해를 막기 위해 금융회사와 가상자산사업자 등 약 580개사를 대상으로 보안체계 전반에 대한 전수점검에 착수한다.

5일 금융위원회에 따르면 지난 9월 30일부터 이달 3일까지 금융권에서 접수된 침해사고는 37개사, 총 40건으로 집계됐다. 금융위는 이날 이억원 위원장 주재로 금융감독원, 금융보안원 및 은행·증권·보험·가상자산 등 금융권 관계자들이 참석한 가운데 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 보안 강화 방안을 논의했다.

업권별로는 전자금융업자가 10개사로 가장 많았다. 이어 금융투자회사와 저축은행이 각각 5개사, 은행과 온라인투자연계금융업(온투업)이 각각 4개사로 집계됐다. 보험사와 가상자산사업자는 각각 3개사, 여신전문금융회사는 2개사, 상호금융은 1개사에서 침해사고가 발생했다.

침해사고로 유출된 정보는 약 47만3000건에 달한다. 금융회사 임직원 관련 자료를 비롯해 고객 이름과 주민등록번호, 계좌번호 등 영업 과정에서 수집한 개인정보가 상당 부분을 차지했다. 다만 계좌 비밀번호 등 부정결제에 직접적으로 악용될 우려가 있는 금융정보의 유출은 아직 확인되지 않았다.

금전적 피해도 일부 발생했다. 소규모 가상자산거래소와 전자금융업자, 온투업자 등에서 약 10억원의 자금이 탈취된 것으로 파악됐다. 가상자산 핫월렛과 소비성 포인트, 온투업 예치금 등 고객자금을 통합 관리하는 계정에서 외부로 자금이 이체된 사례들이다. 현재까지 개별 이용자에게 직접적인 자금손실이 발생한 정황은 확인되지 않았다.

금융당국은 추가 피해를 차단하기 위해 금융회사와 전자금융업자, 가상자산사업자 등 약 580개사를 대상으로 전수점검을 실시한다. 점검 범위에는 홈페이지 등 고객 서비스뿐 아니라 외부와 연결된 응용프로그램 인터페이스(API), 내부업무 시스템, 개발·시험용 시스템 등 IT자산 전반이 포함된다.

시스템 보안 수준과 함께 최고경영자(CEO) 및 정보보호최고책임자(CISO), 정보기술최고책임자(CIO) 등의 내부통제 운영 실태도 들여다본다. 관리대장에 등록된 시스템에 대한 점검은 이달 30일까지 마치고, 등록되지 않은 시스템과 내부통제체계에 대해서는 연말까지 점검을 완료한다는 계획이다.

점검 과정에서 개인정보 유출이나 금전적 피해로 이어질 수 있는 중대한 취약점이 발견되면 해당 서비스를 즉시 중단하고 외부 접근을 차단하도록 했다. 자체점검 결과가 부실하거나 심각한 보안 문제가 확인된 금융회사에는 금감원과 금융보안원이 직접 현장점검에 나설 방침이다. 전수점검 이후 침해사고가 발생할 경우 기존 점검이 적절하게 이뤄졌는지도 확인해 책임을 묻기로 했다.

금융회사 간 사이버 위협정보 공유체계도 확대한다. 대형 금융회사가 자체적으로 발견한 해킹 수법과 공격자 IP, 악성코드 관련 정보를 통합관제시스템(FIRST)을 통해 금융권에 신속하게 전파하는 방식이다. 오는 12월 시범운영을 거쳐 내년 1분기부터 전 금융권에서 활용할 수 있도록 할 계획이다.

전자금융거래법 적용 대상에서 제외된 가상자산거래소 등도 침해사고 발생 시 금감원과 금융보안원에 즉시 신고하도록 관련 가이드라인을 마련한다. 기존에는 일부 업권이 정보통신망법에 따라 한국인터넷진흥원(KISA)에 사고를 신고하는 방식이었지만, 금융권 전체의 신속한 대응을 위해 정보 전달 범위를 넓히겠다는 취지다.

금융회사의 보안 취약점 점검 주기도 강화된다. 대형 금융회사부터 취약점 분석·평가 주기를 기존 연 1회에서 2회로 확대하고, 전자금융거래와 직간접적으로 관련된 모든 외부접점을 평가 대상에 포함할 방침이다. 금융당국이 필요에 따라 수시 점검을 요구하거나 중대한 취약점에 대한 시정명령을 내릴 수 있도록 제도적 근거도 마련한다.

보안 전문인력과 예산 확보에 어려움을 겪는 중소형 금융회사에는 인공지능(AI)을 활용한 취약점 탐색 서비스와 맞춤형 보안 안내를 지원한다. 금융보안원이 외부접점과 취약요인을 상시 탐색하고 위험 우선순위와 조치 방안을 제공하는 '원스톱 AI 방어서비스'를 오는 12월부터 순차적으로 도입할 예정이다.

개인정보 유출에 따른 2차 피해 방지책도 추진된다. 다크웹과 텔레그램 등에서 탈취된 금융정보가 불법 유통되는지 상시 감시하고, 해당 정보가 보이스피싱이나 명의도용 범죄에 활용되지 않도록 대응을 강화한다. 개인정보 불법 거래가 확인되면 해당 금융회사에 즉시 알리고 고객 통지와 피해 예방, 보상 등 후속 조치를 진행하도록 할 계획이다.

금융권 공동 보이스피싱 정보공유·분석 플랫폼인 'ASAP'에는 AI 기반 '의심거래 판단지수(피싱지수)'를 이달부터 시범 도입한다. 금융회사가 의심거래를 조회하면 AI가 보이스피싱 연루 가능성을 0~100점으로 평가해 제공하는 방식이다. 금융당국은 이를 통해 범죄계좌 탐지와 지급정지 조치의 신속성을 높일 수 있을 것으로 기대하고 있다.

보이스피싱 피해금의 일정 부분을 금융회사가 배상하도록 하는 무과실책임 제도의 법제화도 추진한다. 금융회사의 이상거래 탐지와 피해 예방 책임을 강화하되, 구체적인 보상 대상과 한도, 면책 범위 등은 하위 규정을 통해 정교하게 설계한다는 방침이다.

AI 기반 보안체계 구축을 위한 규제 정비도 병행한다. 금융권 망분리 규제 전면 해제를 검토하는 태스크포스(TF)를 본격 가동하고, 보안 업무에 AI와 서비스형 소프트웨어(SaaS)를 상시 활용할 수 있도록 관련 제도를 개선한다. 기존 내부망과 외부망의 물리적 분리 중심에서 벗어나 AI를 통한 위협 탐지와 차단 역량을 강화하는 방향이다.

아울러 가상자산사업자와 보험대리점(GA), 클라우드 및 플랫폼 사업자 등 금융 관련 업종으로 보안 규율을 확대하는 내용의 '디지털금융 안전법'을 내년 1분기 중 마련할 계획이다. 금융회사의 CEO와 이사회, 정보보호 담당 임원 등의 보안관리 책임을 강화하는 방안도 함께 검토한다.

이억원 금융위원장은 이날 간담회에서 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 "금융의 생명과도 같은 국민의 정보와 재산을 지켜내는데 그 어떠한 인적·물적 투자도 아껴서는 안 된다"고 강조했다.

이어 "전 금융권 CEO분들은 절체절명의 위기상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성해 정부에서 준비한 전수점검 계획과 제도개선 과제에 맞춰 긴밀한 상황대응과 튼튼한 보안체계 마련에 사력을 다해주길 바란다"고 당부했다.

kimthin@tf.co.kr

• ▶ 397억 반환 부담 커진 국힘…돌파구는 '李 선거법'?
• ▶ 신천지 의혹 벗은 정청래, 당내 세력 확장 '글쎄'
• ▶ [TF인터뷰] 제이비(JAY B), 좋아서 하는 음악 'Chptr'