[이코노미스트 이승훈 기자] 금융권을 겨냥한 인공지능(AI) 활용 해킹 공격이 확산하는 가운데 금융회사 4곳 중 1곳에서 보안관리 미흡 사항이 발견됐다. 해킹 피해가 확인된 금융회사도 16곳으로 늘면서 금융권 전반의 보안체계에 대한 우려가 커지고 있다.

14일 금융위원회와 금융감독원에 따르면 지난 8일까지 전 금융권 555개사를 대상으로 긴급 보안점검을 실시한 결과 130개사(23.4%)에서 미흡 사항이 확인됐다. 최신 보안패치를 적용하지 않거나 기술지원이 종료된 시스템을 제대로 관리하지 않는 등 기본적인 보안조치가 부족한 사례가 다수 발견됐다. 

24시간 실시간 보안관제체계를 갖추지 않거나 외부에서 접근할 수 있는 전산시스템의 인증·접근통제가 미흡한 사례도 있었다. 특히 전자금융업과 온라인투자연계금융업에서 취약점이 상대적으로 많이 드러났다.

해킹 피해 규모도 확대되고 있다. 금융당국이 이날 정부서울청사에서 개최한 제2차 긴급상황대응 회의에서는 DB저축은행과 ▲산은캐피탈 ▲전자금융업체 브라이트픽스 ▲가상자산사업자 스트리미·프라뱅 등 5곳의 침해사고가 추가로 확인됐다. 스트리미는 가상자산 거래소 고팍스의 운영사다.

이에 따라 신한·KB국민·하나·부산은행 등 기존 피해 금융회사를 포함해 사고가 확인된 곳은 총 16개사로 늘었다. 현재까지 파악된 개인정보 유출 규모는 약 10만건으로 ▲성명과 연락처 ▲주민등록번호 ▲이메일 등이 포함됐다. 다만 금융당국은 계좌 비밀번호와 카드번호 등 직접적인 부정결제에 악용될 우려가 있는 정보의 유출은 확인되지 않았다고 설명했다. 추가 피해 여부에 대한 조사가 진행 중인 만큼 사고 금융회사가 더 늘어날 가능성도 있다.

금융당국은 이번 사고를 계기로 금융권 보안관리체계 전반을 손질하기로 했다. 우선 금융회사가 자체적으로 탐지한 해킹 위협정보도 통합관제시스템(FIRST)을 통해 다른 금융회사와 공유할 수 있도록 개선한다. 기존에는 금융감독원과 금융보안원이 확보한 위협정보를 중심으로 공유가 이뤄져 개별 금융회사가 발견한 공격 징후를 신속하게 전파하는 데 한계가 있었다.

AI를 활용해 외부 노출 시스템과 소스코드 등의 취약점을 탐지하는 점검 인프라도 구축한다. 대형 금융회사의 취약점 점검·평가 주기는 연 1회에서 연 2회 이상으로 확대하고, 최고경영자(CEO)와 정보보호최고책임자(CISO) 등의 보안관리 책임도 명확히 할 방침이다.

신진창 금융위 사무처장은 "수차례 전수점검과 관리 강화를 주문했음에도 기본적인 부분이 잘 지켜지지 않은 사례가 발견된 것은 매우 뼈아픈 부분"이라며 금융권 보안체계 전반에 대한 근본적인 제도 개선을 강조했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지