'보안 100점'인데 뚫렸다…AI 해킹에 시험대 오른 정보보호 평가

(서울=뉴스1) 최재헌 기자 = 최근 해킹 피해를 본 금융사가 금융당국의 정보보호 평가에서 최고등급을 받은 것으로 나타나면서 금융권 보안평가 체계가 시험대에 올랐다.

법적 보호조치와 관리체계를 제대로 갖췄는지를 평가하는 데서 나아가 실제 해커의 공격을 얼마나 막아낼 수 있는지를 검증하는 방식으로 평가 체계를 바꿔야 한다는 지적이 나온다. 특히 인공지능(AI)이 취약점 탐색부터 공격까지 자동화하는 시대에 접어든 만큼 '점수'가 아닌 '실전 방어력'을 평가해야 한다는 것이다.

7일 금융권에 따르면 최근 고객정보 유출 사고를 겪은 신한은행은 올해 반기보고서에서 금융위원회 주관 '개인신용정보 관리 및 보호 실태 점검'에서 6년 연속 최고등급인 S등급(100점)을 받았다고 밝혔다.

신한은행은 ISMS·ISMS-P와 ISO27001 등 정보보호 인증을 확보하고, 사이버 해킹 대응 전문조직과 금융보안원 연계 보안 훈련을 운영한다고도 공시했다. 그러나 대출모집인용 조회 서비스의 취약점을 파고든 공격을 막지 못했다.

KB국민은행과 하나은행에서도 직원용 모바일 업무지원 시스템과 영업 지원시스템의 취약점이 공격에 노출됐다. 보호 체계를 갖추고도 고객정보를 처리하는 개별 시스템의 빈틈을 막지 못한 것이다.

이번 사고는 금융사가 내세운 평가·인증과 실제 보안 수준 사이의 간극을 보여준다는 평가가 나온다. 정보보호 관련 인증 취득에 그치지 않고 공격자가 침투할 취약점이 남아 있는지 검증해야 한다는 문제가 드러난 셈이다.

정보보호 상시평가는 금융사의 개인신용정보 보호 실태를 점검하는 제도다. 금융사가 자체 점검한 결과를 금융보안원이 확인해 금융위원회에 보내며 당국은 이를 검사 등에 활용한다. 개인신용정보의 활용·보유·삭제와 권리 보장, 보호조치 등이 주요 점검 대상이다.

다만 법적 요구사항을 준수하는지 확인하는 평가라는 점에서 모든 해킹을 막을 수 있다고 보기는 어렵다는 분석이다. 최고등급을 받은 금융사도 정보유출이 발생한 만큼, 현재 평가가 실제 취약점을 얼마나 걸러낼 수 있는지는 따져볼 대목이라는 평가다.

이에 금융보안원은 평가 방식 개선에 나섰다. 지난 4월 발표한 올해 정보보호 상시평가 계획에 따르면 약 3000개 금융회사를 대상으로 점검을 실시하고, 보안 사고와 관련된 8개 항목에 강화된 판단 기준을 적용하기로 했다.

접근권한·접속기록, 개인정보 암호화, 이상행위 감독, 취약점 점검, 침입탐지·차단, 백신 관리 등이 대상이다. 실제 이행 여부와 사후 조치 관리 등을 중점적으로 확인한다는 계획이다.

일부 금융사를 대상으로 현장점검을 시범 실시하고 보안 사고 발생 시 감점 기준도 적용하기로 했다. 내년에는 모의해킹 평가항목을 신설해 평가 결과에 비중 있게 반영하고, 현장점검 역시 시범 운영 성과를 분석해 본격 도입할 방침이다.

개편의 실효성은 실제 공격에 노출되는 시스템을 얼마나 검증하느냐에 달려 있다. 업무 지원 시스템까지 점검 범위에 충분히 포함하고, 발견한 취약점이 개선됐는지 확인해야 평가가 점수 부여에 머무르지 않을 수 있다.

전문가들 사이에선 금융권을 향한 공격 환경이 빠르게 달라지고 있다는 의견도 나온다. 금융감독원은 최근 금융권 긴급 점검 회의에서 AI 에이전트를 활용한 대량 자동화 공격 가능성을 제기했다.

임종인 고려대 정보보호대학원 교수는 AI에 대해 "규모, 방법론에서 지금까지 사람이 했던 모든 것을 뛰어넘는다"고 말했다. 사람이 발견하지 못했던 취약점을 빠르게 찾아내고 이를 이용한 악성코드까지 거의 실시간으로 만들어낼 수 있다는 설명이다.

그는 공격자가 IP 주소를 계속 바꾸며 침투를 시도하면 사람이 일일이 대응하는 데 한계가 있다고 지적했다. 공격의 속도와 규모가 달라진 만큼 이를 검증하는 평가 방식도 바뀌어야 한다는 것이다.

임 교수는 "기존 평가는 사람이 공격할 때 집중했지만 이젠 AI 에이전트가 공격한다"며 "새로운 평가 방법론이 필요하다"고 강조했다. 이어 "AI는 AI로 막는 수밖에 없다"고 덧붙였다.