[이코노미스트 이승훈 기자] 금융권을 겨냥한 해킹 공격이 은행과 보험, 증권은 물론 가상자산·전자금융업계까지 확산하면서 한 달여 만에 37개 금융회사에서 침해사고가 발생한 것으로 나타났다. 개인정보 유출 규모는 47만건을 넘어섰고 약 10억원의 자금도 탈취됐다. 금융당국은 전 금융권 580여개사를 대상으로 보안체계 전수점검에 착수하고 중대한 관리 부실이 확인되면 최고경영자(CEO)를 포함한 경영진에게 책임을 묻기로 했다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원 및 전 금융권 협회장 등이 참석한 가운데 '인공지능(AI) 시대 보안체계 혁신을 위한 전 금융권 간담회'를 개최하고 이 같은 침해사고 현황과 대응 방안을 발표했다.

금융위에 따르면 지난 9월 30일부터 이달 3일까지 총 37개 금융회사에서 40건의 침해사고가 신고됐다. 지난달 14일 1차 집계 당시 16개사에서 한 달도 지나지 않아 두 배 이상 늘어난 규모다. 같은 기간 정보 유출 건수도 약 10만건에서 47만3000건으로 4배 이상 급증했다. 

고객정보·회사 관리 자금까지 유출

업권별로는 전자금융업이 10개사로 가장 많았다. 이어 금융투자업과 저축은행이 각각 5개사, 은행과 온라인투자연계금융업(온투업)이 각각 4개사로 집계됐다. 보험과 가상자산업은 각각 3개사, 여신전문금융업 2개사, 상호금융 1개사에서도 사고가 발생했다.

유출된 정보에는 임직원 개인정보와 ▲고객 성명 ▲주민등록번호 ▲계좌번호 등이 포함됐다. 다만 금융당국은 계좌 비밀번호 등 부정결제로 직접 이어질 수 있는 정보의 유출은 아직 확인되지 않았다고 설명했다.

자금 탈취 피해도 발생했다. 일부 소규모 가상자산거래소와 전자금융업자, 온투업자가 관리하던 자금 약 10억원이 유출된 것으로 파악됐다. 가상자산 핫월렛과 소비성 포인트, 온투업 예치금 등이 주요 피해 대상이다. 현재까지 개별 이용자의 자금 손실이 현실화하지는 않은 것으로 당국은 파악하고 있다.

금융당국은 사고 확산을 막기 위해 기존 금융회사뿐 아니라 가상자산업자 등까지 포함한 약 580개사를 대상으로 전수점검을 실시한다. 외부 인터넷과 연결된 시스템 등 관리대장에 등록된 시스템은 이달 30일까지, 미등록 시스템과 내부통제체계에 대한 조사는 연말까지 마무리할 계획이다.

특히 CEO와 정보보호최고책임자(CISO), 최고정보책임자(CIO)의 역할과 책임, 보안 관련 의사결정 절차 등 내부통제 운영 실태를 집중적으로 살펴본다. 금융회사 자체 점검을 원칙으로 하되 점검이 부실하거나 중대한 취약점이 발견되면 금감원과 금융보안원이 현장점검에 나선다.

이 위원장은 "고객의 정보와 재산을 지키지 못하는 금융사는 이미 그 존재 가치를 잃은 것"이라며 "보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 해 사고를 초래하는 행태는 용납하지 않겠다"고 강조했다.

이어 "중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 밝혔다.

보안 사각지대 점검…AI 대응체계 구축

금융당국은 금융권 공동 해킹 관제시스템인 'FIRST'를 다음 달 시범 운영하고 내년 1분기에는 전 금융권으로 확대할 예정이다. 대형 금융회사의 보안 취약점 분석·평가 주기도 연 2회로 단축하고, 중소형 금융회사에는 인공지능(AI) 기반 보안 서비스를 지원한다.

장기적으로는 업권별로 분산된 보안 규율을 통합하는 '디지털금융안전법'을 내년 1분기 중 마련할 방침이다. 가상자산업자와 법인보험대리점(GA)은 물론 클라우드·플랫폼 사업자 등 금융서비스와 연결된 외부 업체까지 보안 규율을 확대하는 것이 핵심이다.

아울러 다크웹 등을 통한 개인정보 유통을 감시하고 AI 기반 의심 거래 탐지체계를 도입해 유출 정보의 금융사기 악용 등 2차 피해에도 대응할 계획이다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지