해킹 대응 강화하는 금감원…"보안 투자 확대·AI 모의훈련 추진"

[프라임경제] 금융감독원이 잇따른 금융권 해킹 사고에 대응해 금융회사의 보안 투자 확대를 유도하고 인공지능(AI) 기반 침투 공격을 포함한 모의해킹 훈련을 확대한다.

이찬진 금융감독원장은 19일 서울 여의도 국회에서 열린 정무위원회 국정감사에서 "최근 일련의 침해사고로 인해 국민들의 심려가 큰 만큼 철저한 원인 규명 등을 통해 보안상 허점을 신속하게 보완하고, AI 기반 공격에 대한 AI 기반 방어 등 효과적인 대응을 위해 금융회사의 자체 보안역량 강화를 적극 유도해 나가겠다"고 말했다.

금감원은 금융회사의 보안 취약점 분석·평가를 강화하고 정보기술(IT) 자산의 식별·관리를 의무화할 방침이다. 모의해킹 훈련에는 AI를 활용한 침투 공격을 포함해 대응 역량을 높이기로 했다.

보안 예산과 인력 확충을 유도하기 위한 제도 개선도 검토한다. 이 원장은 "금융회사의 보안 예산·인력투자 확대를 유도하기 위한 다양한 개선안도 금융위와 협의해 검토하겠다"고 말했다. 구체적인 개선 방안은 아직 확정되지 않았다.

금감원은 그동안 금융보안 감독을 사후 제재에서 사전 예방 중심으로 전환하면서 금융회사 경영진과 보안 현안을 논의해 왔다. 지난 2월에는 통합관제시스템을 본격 가동해 사이버 위협에 대한 금융권 대응체계를 구축하고 관계기관 공조를 강화했다. 그러나 이후에도 침해사고가 이어지면서 금융회사의 자체 보안 역량과 관련 제도를 추가로 보완하기로 했다.

앞서 지난 14일 금융위원회에 따르면 신한은행 침해사고 전후로 KB국민·하나·부산은행 등 금융회사 16곳에서 침해사고가 확인됐다. 당시까지 파악된 정보 유출 규모는 성명·연락처·주민등록번호·이메일 등 약 10만건이다.

계좌 비밀번호와 카드번호 등 직접적인 부정결제로 이어질 수 있는 정보의 유출은 확인되지 않았으며, 금융당국은 사고 간 연관성과 동일 공격자 여부, AI 활용 가능성 등을 조사 중이라고 설명했다.

이날 질의에서는 금융회사의 자체 보안 점검 결과를 감독당국이 재검증해야 한다는 요구가 나왔다. 한민수 더불어민주당 의원은 금융회사 보안 자체점검에서 130곳의 미흡 사항이 확인됐다고 지적하며, 문제가 발견되지 않은 금융회사에 대해서도 추가 검증을 주문했다.

자체점검에서 미흡 사항이 드러나지 않았더라도 실제 보안 취약점이 없는지 감독당국이 다시 확인해야 한다는 취지다. 이에 이 원장은 외부 공격에 노출될 수 있는 금융회사 시스템과 접속 경로에 대해 전수조사를 다시 지시했다고 밝혔다.

은행별 보안체계와 침해사고 대응 수준의 차이도 도마에 올랐다. 한 의원은 신한·KB국민·하나은행에서는 해킹 피해가 발생한 반면, 우리·NH농협은행에서는 자료 확인 시점까지 공격에 따른 정보 유출이 확인되지 않았다며 은행별 차이를 물었다.

이 원장은 "기본에 충실한 부분"이라며 우리은행의 다중인증 체계와 NH농협은행의 외부 공격 노출 경로 차이를 언급했다.

이번 국감에는 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장 등 5대 은행장이 일반 증인으로 채택됐다. 5대 은행장이 동시에 국감 증인 명단에 오른 것은 2022년 이후 4년 만이다.

금감원은 보안 취약점을 찾아 신고하면 포상하는 버그바운티 제도도 강화할 방침이다. 이 원장은 금감원의 신고 포상 제도가 한국인터넷진흥원(KISA)에 비해 미흡하다는 지적에 "KISA 기준으로 상향할 수 있도록 준비하겠다"고 답했다.