금융 금융일반

AI는 AI로 맞선다더니… 무더기 해킹사고에 망분리 속도조절 [AI 해킹 후폭풍]

조은효 기자, 박문수 기자

파이낸셜뉴스

금융권 AI 공격 속수무책 (하)
2차 망분리 규제 완화 대상 보류
망분리 완화·유지 놓고 당국 고민
"AI해킹 대응위해 망분리 서둘러야"
"웹 등 보안 사각지대 관리가 우선"

AI는 AI로 맞선다더니… 무더기 해킹사고에 망분리 속도조절 [AI 해킹 후폭풍]

금융당국이 금융권 망분리 규제 완화를 둘러싸고 '갈지(之)자 행보'를 보이고 있다. 최근 인공지능(AI)을 활용한 금융권의 무더기 해킹사고와 관련해 망분리 규제 완화 의지를 재확인한 지 이틀 만에 '2차 망분리 규제 긴급완화 대상' 금융사 선정을 미뤘다. 빠른 속도로 진화하는 AI 공격에 대응력을 키우기 위해 금융사들이 AI 보안 프로그램을 사용할 수 있도록 망분리 규제 완화에 속도를 내야 한다는 주장과 현재 금융권 보안 수준을 감안할 때 시기상조라는 시각이 엇갈리면서 당국의 '스텝'이 꼬였다는 분석이다.

■망분리 완화 대상 발표 보류

6일 금융업권에 따르면 금융위원회는 당초 7일로 예정했던 제2차 망분리 규제 긴급완화 대상 선정 발표를 전격 보류했다. 지난 2013년 도입된 금융권 망분리 규제가 미국 앤스로픽의 '미토스' 등 고성능 AI가 해킹에 악용될 수 있다는 우려가 커지면서 규제 개혁을 추진했지만 제동이 걸린 것이다.

지난 4일 이억원 금융위원장(사진)은 긴급점검회의에서 "'AI에는 AI로 맞서는' 선제적 보안체계를 서둘러 구축해야 한다"고 강조하면서 망분리 규제 완화에 대한 의지를 피력했다.

긴급점검회의 당일 금융당국 고위 관계자는 "망분리 규제 완화에 당국이 속도를 내겠다는 것을 뜻한다"며 "망분리 규제가 이번 고객정보 유출 사고와 직접적 관련성은 떨어지나, 향후 더욱 고도화될 AI 해킹 공격에 선제적으로 대응하기 위해선 망분리 규제 완화로 나아가야 한다"고 말했다. 망분리 규제를 완화하면 금융사가 외부 고성능 AI와 보안 서비스형 소프트웨어(SaaS)를 활용해 기존 방식으로는 찾기 어려웠던 보안 취약점을 보다 빠르고 광범위하게 찾아낼 수 있다는 이점이 있다. 기존 망분리 환경에서는 외부 AI·보안서비스 활용에 제약이 있었지만, 규제를 완화하면 방대한 소스코드를 AI로 분석해 취약점을 선제적으로 탐지하고 보완할 수 있다는 게 망분리 규제 완화론의 시각이다.

■'완화냐, 유지냐' 팽팽한 이견

하지만 망분리 2차 규제 완화 대상 금융사 발표가 보류되면서 당국이 망분리 문제를 놓고 속도조절에 들어가는 것 아니냐는 관측이 나온다. 망분리가 공격 확산을 막는 데 일정 부분 기여했다는 주장과 낡은 규제로 인해 향후 고도화될 AI 공격에 취약성을 드러낼 것이란 주장이 엇갈리고 있어 당국도 신중모드에 들어간 것으로 풀이된다.

더욱이 앞서 지난 5월 1차 망분리 규제 완화 대상에 포함된 금융사 가운데서도 이번 해킹 피해가 발생하자 2차 대상 확대를 앞두고 보안체계를 보다 면밀히 살펴볼 필요가 있다고 판단한 것으로 보인다. 1차 테스트에는 주요 시중은행 가운데 신한은행과 하나은행, 우리은행 등이 참여했다. 이 가운데 우리은행은 공격 시도가 확인됐지만 현재까지 정보유출 피해는 확인되지 않았고, 신한은행은 약 2만5000명, 하나은행은 89명의 고객정보가 유출된 것으로 파악됐다. 이번 사고를 계기로 망분리가 그나마 핵심 금융정보를 지킬 수 있었다는 시각도 나오고 있다.

망분리 지지론자들은 "대출모집인 사이트나 임직원 등이 업무상 편의를 위해 사용하는 외부 웹페이지 등 보안 사각지대에 대한 관리가 우선"이라는 입장이다.

반면 고도화되는 AI 공격을 AI로 대응할 수 있도록 망분리를 서둘러야 한다는 시각도 팽팽히 맞서고 있다. 고동원 성균관대 법학전문대학원 명예교수는 "현재는 금융사의 개인정보 유출에 대한 법적 책임은 전자금융거래법에 금융보안이 규정돼 있다"며 "이를 분리해서 별도의 법률을 제정, 최고경영자(CEO)와 이사회가 최종적으로 법적 책임을 물게 해야 한다"고 말했다.

서병호 한국금융연구원 선임연구위원은 "물리적 망분리 규제를 대형 금융사에 한정해 완화한 것은 중소형 금융사와의 금융보안 및 정보기술(IT) 경쟁력 격차를 확대할 수 있다"면서 "모든 금융사가 오픈뱅킹과 마이데이터로 연결된 만큼 '제로트러스트' 체계의 도입을 전제로 중소형 금융사의 물리적 망분리 규제도 순차적으로 완화할 필요가 있다"고 주장했다.

[email protected] 조은효 박문수 기자

#AI 해킹 #금융당국 #망분리 규제