"16개사 10만건 정보 유출에 CEO 책임 강화 검토"…금융위, 2차 긴급 대응 회의

555개사 체크리스트 점검결과
130개사 일부 미흡사항 확인
즉시 보완조치 실시 지도·당부
"이사회 책임성 확보 제도 개선"

[파이낸셜뉴스] 금융위원회가 잇따른 금융권 사이버 공격에 대한 대책 마련을 위해 '2차 긴급 상황대응 회의'를 개최했다. 금융위는 지난 8일까지 555개 금융회사가 진행한 자체 점검 결과 130개사에서 미흡사항을 발견해, 즉시 조치를 당부했다.

금융위는 인공지능(AI)을 활용한 해킹 시도가 기하급수적으로 늘어나고 있는 만큼 AI를 활용한 방어 체계 확립을 위해 망분리 규제 완화에 속도를 낼 전망이다. 또 금융회사가 보안에 인적·물적 비용을 투자할 수 있도록 최고경영자와 이사회의 책임성 확도를 위한 제도 개선도 추진한다.

2일 신진창 금융위 사무처장이 주재한 '제 2차 긴급 상황대응 회의'에서 정부는 앞서 금융 회사 555곳으로부터 제출받은 체크리스트 점검 결과를 확인했다.

금융위와 금융감독원, 금융보안원은 최근 금융회사 해킹사고 직후 현장 조사인력 파견했다. 이후 정보유출 고객에 대한 소비자 보호조치 안내, 금융권 전체에 공격자 IP 공유 및 체크리스트 배포 등 긴밀한 조치를 시행했다. 또한 지난 2일과 4일 각각 사무처장, 금융위원장 주재로 긴급회의를 열어 금융권의 엄중한 대응을 주문했다.

신한은행 침해사고 전후로 은행, 저축은행, 상호금융, 여전업, 전금업, 온투업, 가상자산사업자 등 전 업권에 걸쳐 총 16개사의 침해사고가 확인됐다. 현재도 금융회사들이 공유된 IP 등을 바탕으로 추가 침해 여부를 확인 중이며, 피해 금융회사 수가 더 늘어날 가능성이 있다. 지금까지 파악된 정보유출 규모는 약 10만건(성명, 연락처, 주민등록번호, 이메일 등)이다. 다만 금융위는 계좌 비밀번호나 카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다고 선을 그었다. 일각에서 우려하는 부정 송금 등의 사례는 없었다는 것이다.

침해사고가 신고된 금융회사에 대해서는 공격 IP 차단, 보안패치 및 서비스 중단 등 추가 피해 방지조치가 신속히 이뤄졌다. 개인정보 유출 사실과 대응요령 안내 등 소비자 보호 조치도 병행됐다.

금감원과 금보원은 현장조사로 침해경로, 공격방식, 사례별 연관성, 동일 주체 여부, AI 해킹 가능성 등을 조사하고 있다. 이밖에도 유관기관과 협력해 금융 외 부문 피해 확산 방지와 공격자 검거 등 수사도 진행 중이다.

금융위가 지난 8일까지 진행한 555개 금융회사 대상 12개 항목 체크리스트 점검 결과, 425개사는 '적정'으로 파악됐다. 130개사는 일부 미흡사항이 있다고 보고했다. 미흡사항은 주로 △보안패치 미적용 △제조사 기술지원 종료 시스템 관리 미흡 △실시간 관제체계 미구축 △대외시스템 인증·인가 누락 △중요 서비스에 대한 강화된 인증절차 미도입 등에서 발견됐다.

특히 전자금융업자나, 온라인투자연계금융업자 등 보안역량이 상대적으로 부족한 소규모 회사에서 미흡사항이 상대적으로 많이 드러났다. 각 금융회사는 신속한 보안패치, 노후장비 교체, 보안관제 인력·설비 확충, 인증범위 확대 등 보완조치에 들어갔다.

회의에서는 금융권 보안체계 강화를 위한 네 가지 정책과제가 논의됐다. 먼저 금융회사 보안체계와 관리시스템에 대한 전수점검을 추진한다. 공격표면 관리, 인증체계, 내부통제 등 보안관리 전반을 촘촘히 점검하고, 외부 접점의 인증·접근통제 권한을 명확히 설정·관리하도록 지도할 예정이다.

이어 해킹위협 조기 포착과 공동대응 체계 마련을 위해 금융회사가 자체 파악한 위협정보도 통합관제시스템을 통해 공유할 수 있도록 시스템 개선을 추진한다. AI 기반 취약점 점검 인프라 구축도 병행한다.

또 금융회사의 상시적 보안관리 강화를 위해 대형 금융회사의 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 중요한 외부접점을 필수 점검대상에 포함하는 방안이 검토된다. 필요시 수시점검 근거 마련도 추진된다.

마지막으로 중소형 금융회사 지원을 위해 금융보안원이 업권 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축, 블랙박스 테스트, 맞춤형 보안안내서 마련 등 다양한 지원책을 검토한다. 대부업, 보험GA 등 전자금융거래법 적용대상 외 부문에 대해서도 대응요령을 신속히 전파할 계획이다.
신 사무처장은 금융분야의 신뢰와 안전의 중요성을 강조하며 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례 전수점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 말했다.

신 처장은 "이번 사고를 계기로 금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 금융권 전체의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것"이라고 말했다. 이어 "AI 보안위협 확대에 대비해 'AI공격은 AI로 방어'하는 보안체계 확립을 위한 망분리 규제 완화 등 제도개선도 면밀하고 속도감 있게 추진하겠다"고 덧붙였다.

[email protected] 박문수 기자