금융권 해킹 16곳으로 확산…10만건 유출에 보안 허점까지

[마이데일리 = 정수미 기자] 금융권을 겨냥한 연쇄 해킹 공격이 은행과 저축은행을 넘어 상호금융과 캐피탈, 가상자산 거래소까지 확산하고 있다. 침해사고가 확인된 금융회사는 16곳으로 늘었으며, 약 10만건의 개인정보가 유출된 것으로 파악됐다.

14일 금융위원회와 금융감독원에 따르면 이날 오후 정부서울청사에서 신진창 금융위 사무처장 주재로 열린 ‘제2차 긴급 상황대응 회의’에서 금융권 침해사고 현황과 긴급 보안점검 결과가 공개됐다.

이번에 추가로 침해사고가 확인된 곳은 DB저축은행과 산은캐피탈, 전자금융업체 브라이트픽스, 가상자산사업자인 스트리미와 프라뱅 등 5곳이다. 스트리미는 국내 가상자산 거래소 고팍스의 운영사다.

앞서 신한·KB국민·하나·BNK부산은행 등 은행 4곳과 예가람·웰컴·OK저축은행 등 저축은행 3곳에서도 침해사고가 확인됐다. 상호금융권에서는 새마을금고중앙회가 포함됐다. 현대캐피탈과 온라인투자연계금융업체 피에프씨테크놀로지스(PFCT), 모우다에서도 사고가 발생했다.

현재까지 파악된 개인정보 유출 규모는 약 10만건이다. 유출 정보에는 고객 이름과 연락처, 주민등록번호, 이메일 주소 등이 포함됐다.

다만 침해사고가 확인된 16곳 모두에서 개인정보가 유출된 것은 아니다. 금융당국은 계좌번호나 카드번호 등 직접적인 부정결제에 악용될 수 있는 금융정보의 유출 사례도 아직 확인되지 않았다고 설명했다.

금융당국은 금융감독원과 금융보안원의 현장 조사 결과를 토대로 사고별 침입 경로와 공격 수법을 분석하고 있다. 동일한 공격자의 소행인지, 인공지능(AI)이 실제 공격 과정에 활용됐는지도 조사 중이다.

금융권 전반의 보안관리 실태에서도 취약점이 드러났다.

금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 긴급 보안점검을 실시한 결과, 130곳(23.4%)이 보완이 필요한 사항을 보고했다. 나머지 425곳(76.6%)은 미흡사항이 없다고 제출했다.

주요 미흡사항은 최신 보안패치 미적용과 기술지원이 종료된 노후 전산시스템 관리 부실, 24시간 보안관제체계 미구축 등이었다. 외부 접속 시스템의 인증 절차가 미흡하거나 중요 서비스에 다중요소인증(MFA)을 적용하지 않은 사례도 확인됐다.

금융당국은 미흡사항이 발견된 금융회사에 보안패치 적용과 노후 장비 교체, 관제체계 보완 등을 요구하고 개선계획을 제출하도록 했다.

잇따른 해킹 사고를 계기로 금융권 보안관리체계도 전면 재점검한다.

우선 금융회사가 외부 인터넷과 연결된 전산시스템을 빠짐없이 파악하고 접근권한과 인증 절차를 강화하도록 할 방침이다. 최고경영자(CEO)와 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보안 관련 보고체계와 책임 범위도 명확히 한다.

보안 취약점 점검 주기도 확대한다. 현재 금융회사와 전자금융업자는 원칙적으로 연 1회 취약점 점검·평가를 실시해야 하지만, 앞으로는 고객 수가 많고 외부 접점이 넓은 대형 금융회사부터 연 2회 이상으로 늘릴 계획이다.

금융회사 간 해킹 위협정보 공유체계도 강화한다. 개별 금융회사가 발견한 공격 징후를 통합관제시스템(FIRST)을 통해 공유하도록 하고, AI 기반 취약점 점검 인프라도 구축할 예정이다.

보안 투자 여력이 부족한 중소형 금융회사를 위해서는 금융보안원과 업권별 협회·중앙회가 참여하는 AI 기반 공동 보안관제시스템 도입을 검토한다.

현행 전자금융거래법상 보안관리 사각지대에 있는 대부업체와 법인보험대리점(GA) 등에 대해서도 AI 보안위협 대응 방안을 마련할 계획이다.

신진창 금융위 사무처장은 “전 금융권의 보안관제체계와 CEO·이사회 등의 책임성 확보를 포함해 보안체계 전반을 철저히 재점검하고 근본적인 제도개선이 이뤄지도록 하겠다”며 “AI 공격은 AI로 방어하는 보안체계를 확립하기 위해 망분리 규제 완화 등 제도개선도 속도감 있게 추진하겠다”고 말했다.