"해커 무기된 미토스 AI"...금융위, PG업권 보안 리스크 점검

개인정보 유출 시 대규모 소비자 피해 우려 PG·카드사·관계기관 간 정보공유, 협력 AI 보안위협 대비 철저 당부

[파이낸셜뉴스] 미토스 인공지능(AI)이 국내 금융회사의 해킹 시도에 사용될 수 있다는 우려가 커지는 가운데 금융당국이 결제대행사와 카드사간 정보 공유를 당부했다. 결제대행사(PG)나 카드사의 개인정보가 해커에게 넘어갈 경우 대규모 보안 사고가 발생할 수 있는 만큼 업권 내부 협력이 절실하다는 것이다. 특히 최근 일부 해커들이 AI를 사용해 해킹 시도를 자동화하면서 해킹 시도건수가 기하급수적으로 늘어나는 만큼 보안 수위를 끌어올리라는 당부다. 금융위원회는 16일 정부서울청사 별관에서 유영준 디지털금융정책관 주재로 '프런티어 AI 상황대응반' 제6차 회의를 열었다. 금융감독원, 금융보안원, 여신금융협회, 핀테크산업협회, 카드사 2곳, PG사 4곳 등이 참석한 이번 회의는 최근 PG사 침해사고를 계기로 PG업권의 보안 리스크와 대응체계를 점검하고자 마련됐다. 참석자들은 AI 기술 발전에 따라 거세진 보안 위협에 대한 대응 방향을 논의했다.

회의에서는 △최근 금융권 해킹 동향 △PG업권의 개인신용정보 보유·관리 현황 △주요 침해사고 유형 △사고 발생 시 대응체계 등이 중점적으로 논의됐다. 참석자들은 PG업권이 이름, 생년월일, 결제정보 등 다양한 개인정보를 처리하는 만큼 정보 유출 시 부정결제 등 소비자 피해가 클 수 있다고 지적했다. 최근에는 PG사 자체 보안취약점뿐만 아니라 가맹점의 보안취약점을 악용한 우회 공격이 빈발하고 있다는 점도 언급됐다.

금융보안업계 관계자는 "아직까지 미토스를 사용한 것으로 보이는 해킹 시도는 흔하지 않다"면서 "미토스급이 아니더라도 AI에이전트를 활용해 이미 발견된 취약점을 보완하지 않은 기업의 보안망을 무력화하려는 시도가 빈번해졌다"고 전했다.

참석자들은 PG사가 여러 금융회사와 가맹점과 시스템을 연계하고 있는 만큼, 자체 시스템뿐 아니라 외부 접점에서 발생할 수 있는 보안 위협까지 종합적으로 고려한 탐지·대응체계 구축의 필요성에 공감했다. 카드정보 등 유출 시 소비자가 인지하지 못하는 2차 피해를 막기 위해 PG업권에서 처리하는 정보의 최소화, 불필요하거나 과도한 정보 수집 방지 필요성도 제기됐다.

정보유출 사고 발생 시에는 PG사, 카드사, 금융감독원, 금융보안원 등 관계기관 간 긴밀한 협조를 통해 신속한 소비자 피해 예방이 중요하다는 데 의견이 모였다. 카드정보 유출 시 카드사와의 신속한 정보 공유, 이상거래탐지시스템(FDS) 등록, 이상거래·부정결제 모니터링 강화, 신속한 고객 안내, 카드 재발급, 소비자 피해 전액보상 등 적극적인 소비자 보호조치가 강조됐다.

유영준 디지털금융정책관은 "PG사가 금융회사에 비해 상대적으로 규모가 작으나 다수의 금융회사와 가맹점에 연결돼 대량의 개인신용정보를 처리하는 만큼, 보안사고로 인한 소비자 피해 방지를 위한 철저한 보안관리가 중요하다"면서 "침해사고 발생 시 카드사 및 관계기관과 긴밀히 협력해 즉각적인 소비자 피해 예방조치가 이루어질 수 있도록 대응체계 점검·보완하라"고 당부했다. 이어 "금융분야에서 오픈뱅킹, 마이데이터 등 API를 통한 시스템 연계성이 높은 만큼 금융 생태계 참여자 모두의 보안 강화 노력이 필요하다"고 언급했다.

[email protected] 박문수 기자