금융보안원, 금융권 침해사고 대응훈련 실시

HTTP/2 웹서비스 최신 취약점 활용 디도스 공격 기법 추가 적용

[파이낸셜뉴스] 금융보안원은 금융권의 자율 보안 체계 강화 및 침해대응 역량 제고를 위해 3월부터 ‘2026년도 금융권 침해사고 대응훈련’을 본격적으로 실시한다고 18일 밝혔다.

금융권 침해사고 대응훈련은 전자금융감독규정에 따라 연1회 이상 실시하는 것으로, 금융회사와 사전에 협의된 훈련일시와 공격규모로 매년 3월에서 11월 사이에 진행된다.

올해 금융권 침해사고 대응훈련은 △디도스공격 △사이버대피소전환 △서버해킹공격 △악성메일공격 총 4가지 유형으로 구성됐다.

디도스공격 대응 및 사이버대피소 전환훈련은 실제 상황을 가정한 훈련용 공격 트래픽을 금융회사가 탐지 및 대응하는 훈련이다. 올해는 HTTP/2 웹서비스 최신 취약점을 악용한 디도스 공격 등 신규 공격 기법을 추가로 적용한다.

서버해킹공격 대응훈련은 원격코드 실행 취약점 등 위험도 높은 서버 공격을 즉시 탐지.방어하기 위한 훈련으로, 최근 공개된 React2Shell 등 고위험군 취약점 시나리오를 새롭게 적용하기로 했다.

악성메일공격 대응훈련은 금융회사 임직원의 악성메일 대응능력을 제고하기 위한 훈련으로, 최신 AI 테마를 활용한 악성메일 및 피싱사이트를 신규 제작하여 훈련에 활용할 예정이다.

한편 2025년에 새롭게 마련한 ‘침해대응 훈련플랫폼’을 활용해 서버해킹공격 및 악성메일공격 훈련 절차를 자동화한 결과 금융기관의 이용 편의성과 연간 훈련 참여도가 지난 2024년 632회에서 지난해 869회로 큰 폭으로 증가했다.

금융보안원은 연내 디도스공격 대응훈련의 자동화 개발을 끝내고 내년부터 모든 훈련 유형을 아우르는 통합 훈련플랫폼 서비스를 본격적으로 선보일 계획이다.

금융보안원 박상원 원장은 “최근 금융기관을 타겟으로 한 사이버공격이 빈번해지고 있는 만큼, 훈련 기관에 실전과 다름없는 공격 기법과 맞춤형 시나리오를 지속적으로 제공하겠다”면서 “금융권 전반의 보안 인식을 제고하고 침해대응 역량을 강화하는 데에 최선을 다하겠다"고 말했다.

[e-mail] 박소현 기자