'해킹사고' 금융사 16곳·정보유출 10만건

금융위, 555개사 자체 점검 결과
130곳서 '보안 미흡사항' 발견
부정 송금 등 2차 피해 없음 확인

최근 금융권 해킹 사고 이후 555개 금융사가 진행한 자체 점검 결과 130개사에서 보안 미흡사항이 발견된 것으로 나타났다. 특히, 이미 알려진 사고를 포함해 총 16개사에서 정보유출 규모가 10만건을 넘어선 것으로 집계됐다.

금융위원회는 최고경영자와 이사회의 책임소재 확대를 추진하고, 인공지능(AI) 해킹 시도에 대응하기 위해 망분리 규제 완화도 속도를 내기로 했다.

14일 금융위는 신진창 금융위 사무처장이 주재한 '제2차 긴급 상황대응 회의'에서 금융사 555곳으로부터 제출받은 체크리스트 점검 결과를 확인했다. 신한은행 유출 사고를 전후로 은행, 저축은행, 상호금융, 여신전문업체, 전자금융업체, 온라인투자연계금융업체, 가상자산사업자 등 전 업권에 걸쳐 총 16개사의 침해사고가 확인됐다. 현재도 금융사들이 공유된 인터넷주소(IP) 등을 바탕으로 추가 침해 여부를 확인하고 있다. 피해 금융사가 더 늘어날 수 있다는게 금융위의 판단이다.

지금까지 파악된 정보유출 규모는 약 10만건이다. 다만 금융위는 계좌 비밀번호나 카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다고 밝혔다. 일각에서 우려하는 부정 송금 등의 2차 피해는 없었다는 것이다.

침해사고가 신고된 금융사에 대해서는 공격 IP 차단, 보안패치 및 서비스 중단 등 추가 피해 방지조치가 신속히 이뤄졌다.

금융감독원과 금융보안원은 현장조사로 침해경로, 공격방식, 사례별 연관성, 동일 주체 여부, AI 해킹 가능성 등을 조사하고 있다. 이밖에도 유관기관과 협력해 금융 외 부문 피해 확산 방지와 공격자 검거 등 수사도 진행 중이다.

금융위가 지난 8일까지 진행한 555개 금융회사 대상 12개 항목 체크리스트 점검 결과, 425개사는 '적정'으로 파악됐다. 130개사는 일부 미흡사항이 확인됐다. 미흡사항은 주로 △보안패치 미적용 △제조사 기술지원 종료 시스템 관리 미흡 △실시간 관제체계 미구축 △대외시스템 인증·인가 누락 △중요 서비스에 대한 강화된 인증절차 미도입 등에서 발견됐다. 특히 전금업, 온투업 등 보안역량이 상대적으로 부족한 소규모 회사에서 미흡사항이 상대적으로 많이 드러났다. 금융위는 금융사 보안체계와 관리시스템에 대한 전수점검을 추진한다. 또 해킹위협 조기 포착과 공동대응 체계 마련을 위해 금융사가 자체 파악한 위협정보도 통합관제시스템에서 공유할 수 있도록 시스템 개선을 추진한다.

금융사의 상시적 보안관리 강화를 위해 대형 금융사의 취약점 점검·평가 주기를 연 2회 이상으로 확대한다. 외부접점을 필수 점검대상에 포함하는 방안도 검토된다.

신 사무처장은 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례 전수점검과 관리 강화를 주문했지만 금융사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 말했다.

[email protected] 박문수 기자