금융권 해킹에 47만건 정보유출·10억원 탈취…이억원 “보안 부실 CEO 책임 묻겠다”

[마이데일리 = 정수미 기자] 금융권에서 잇따른 해킹 사고로 47만건이 넘는 정보가 유출되자 금융당국이 580여개 금융회사를 대상으로 보안 전수점검에 나선다.

이억원 금융위원장은 5일 금융보안원 여의도 분원에서 ‘AI 시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 금융권 침해사고 현황과 보안 강화 방안을 논의했다.

이날 간담회에는 금융감독원과 금융보안원, 은행·보험·증권 등 금융업권 협회장을 비롯해 국무조정실, 과학기술정보통신부, 경찰청 등 관계부처가 참석했다.

금융위에 따르면 지난 9월 30일부터 이달 3일까지 금융권 37개사에서 총 40건의 침해사고가 신고됐다. 지난달 중순 16개사였던 피해 금융회사는 한 달도 채 되지 않아 두 배 이상 늘었다.

업권별로는 전자금융업자가 10곳으로 가장 많았다. 저축은행과 금융투자회사가 각각 5곳, 은행과 온라인투자연계금융업자가 각각 4곳으로 뒤를 이었다. 보험사와 가상자산사업자는 각각 3곳, 여신전문금융회사 2곳, 상호금융회사 1곳에서도 사고가 발생했다.

정보유출 규모도 급증했다. 현재까지 확인된 유출 정보는 약 47만3000건으로, 지난달 중순 집계된 약 10만건의 4배를 웃돌았다.

유출된 정보는 주로 임직원 개인정보와 고객 이름, 주민등록번호, 계좌번호 등이다. 다만 계좌 비밀번호 등 부정결제로 이어질 수 있는 정보가 유출된 사례는 아직 확인되지 않았다.

일부 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 약 10억원의 자금 탈취 피해도 발생했다. 가상자산 핫월렛과 포인트, 예치금 등 회사가 고객 자금을 통합 관리하는 계정에서 자금이 빠져나갔다.

◇580여개사 연말까지 전수점검…CEO 책임 강화

금융당국은 금융회사와 전자금융업자, 가상자산사업자 등 약 580개사를 대상으로 연말까지 보안 전수점검을 실시한다.

점검 대상은 고객이 이용하는 금융서비스뿐 아니라 직원관리와 내부업무, 제휴업무 등 외부에서 접근할 수 있는 모든 시스템이다. 개발·시험용 시스템과 임시 운영 시스템 등 관리가 소홀하기 쉬운 영역도 포함된다.

CEO와 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 역할과 책임이 명확히 설정돼 있는지, 외부접점의 운영과 폐기 과정에서 내부통제가 제대로 작동하는지도 살펴본다.

금융회사는 오는 30일까지 기존에 파악된 외부접점에 대한 점검을 마치고, 다음 달 31일까지 관리 대상에서 누락된 시스템과 내부통제 전반에 대한 조사를 완료해야 한다.

점검은 금융회사가 자체적으로 진행하되 점검 내용과 판단 근거를 구체적으로 기록하도록 했다. 점검이 부실하거나 중대한 취약점이 발견되면 금감원과 금융보안원이 현장점검에 나선다.

대형 금융회사의 보안 점검 의무도 강화한다. 취약점 분석·평가 횟수를 기존 연 1회에서 2회 이상으로 늘리고, 전자금융거래와 직간접적으로 연결된 모든 외부접점을 평가 대상에 포함할 방침이다.

이 위원장은 “보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제”라며 “보안관리의 부실은 단순한 기술적 실패를 넘어 경영관리의 실패로 이어질 수 있다”고 지적했다.

이어 “중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다”고 강조했다.

◇AI로 해킹·보이스피싱 차단…금융사 배상책임 확대

금융당국은 AI를 활용한 사이버 공격 탐지·차단 체계도 구축한다. 사고 발생 이후 대응하는 방식에서 벗어나 금융권 전체가 공격 정보를 공유하고 선제적으로 대응하도록 한다는 방침이다.

이를 위해 금융회사들이 자체적으로 파악한 공격자 인터넷주소(IP)와 악성코드 등 침해위협 정보를 실시간으로 공유하는 공동 관제체계를 오는 12월부터 시범 운영한다.

금융보안원은 다크웹과 텔레그램 등에서 유출된 개인정보가 불법 거래되는지 상시 감시하고, 관계부처와 협력해 불법 유통 경로를 차단할 계획이다.

보이스피싱 대응에도 AI를 활용한다. 금융권 공동 정보공유·분석 플랫폼인 ‘ASAP’에 의심거래의 범죄 연루 가능성을 0~100점으로 산출하는 ‘피싱지수’를 이달부터 시범 도입한다.

보이스피싱 피해에 대한 금융회사의 배상책임도 확대한다. 금융위는 금융회사에 고의나 과실이 없더라도 피해액 일부를 보상하도록 하는 무과실책임 제도 도입을 추진하고, 국회에 계류 중인 통신사기피해환급법 개정안의 연내 통과를 지원할 방침이다.

보안 규율의 사각지대도 줄인다. 금융위는 가상자산사업자와 보험대리점(GA) 등에도 전자금융거래법에 준하는 보안 규율을 적용하는 방안을 검토하고, 이를 위한 ‘디지털금융 안전법’을 내년 1분기 발의할 계획이다.

이 위원장은 “고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것”이라며 “전 금융권 CEO들은 절체절명의 위기 상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성해 달라”고 당부했다.