[아이뉴스24 도수화 기자] 금융당국이 최근 금융권 해킹 사고에 대응해 전 금융권 보안체계 점검에 나선다. 은행·보험·증권 등 전통 금융권뿐 아니라 전자금융업, 온라인투자연계금융업, 가상자산사업자까지 포함해 약 580여개사를 대상으로 외부접점과 내부통제 체계를 전수 점검한다.
금융위원회는 5일 이억원 금융위원장 주재로 금융감독원, 금융보안원, 은행·증권·보험 등 금융권 협회장들과 'AI 시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 이 같은 대응 방안을 논의했다고 밝혔다. 국무조정실, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원(KISA) 등 관계기관도 참석했다.
금융권 침해사고가 확인된 지난 9월 30일 이후 이달 3일까지 총 37개사에서 40건의 침해사고가 신고됐다. 업권별로는 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 전자금융업 10개사, 가상자산 3개사 등이다. 정보유출 규모는 현재까지 약 47만3000건으로 파악됐다. 유출 정보는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 많았으며 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았다.
일부 소규모 가상자산거래소, 전자금융업자, 온투업자의 경우 회사가 관리하는 자금이 탈취된 사례도 있었다. 자금탈취 규모는 현재까지 약 10억원 수준으로 신고됐다. 주로 가상자산 핫월렛, 소비성 포인트, 온투업 예치금 등 회사가 고객자금을 통합 관리하는 계정에서 자금이체가 발생한 것으로, 개별 이용자의 자금손실은 아직 현실화되지 않은 것으로 파악됐다.
금융당국은 우선 전 금융권의 외부접점과 내부통제 체계를 전면 점검한다. 홈페이지 등 대고객 서비스뿐 아니라 직원관리, 내부업무, 제휴업무 등 외부에서 접근 가능한 모든 업무영역이 대상이다. 인증·접근통제 시스템, 영업·관리 목적 API, 개발·테스트 및 임시운영 시스템 등 최근 침해사고가 주로 발생한 영역과 관리가 소홀했을 수 있는 주변부 시스템까지 폭넓게 들여다본다.
금융회사는 점검 과정에서 금전피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 확인되면 즉시 서비스를 중단하고 외부접근을 차단해야 한다. 즉시 보완이 어렵고 중요한 서비스 제공과 직접 관련된 경우에 한해 대체통제 시스템을 갖추고 CEO 승인을 받은 뒤 서비스를 재개할 수 있다.
전수점검은 우선 금융회사 자체점검 방식으로 진행된다. 다만 점검내용이 부실하다고 판단되거나 중대한 취약점이 발견되면 금감원과 금융보안원이 직접 현장점검에 나설 계획이다. 관리대장에 등재된 시스템의 외부접점 점검은 이달 30일까지, 미등재 시스템과 최고경영자(CEO)·정보보호최고책임자(CISO) 등 내부통제체계 전반에 대한 전수조사는 12월 31일까지 마무리한다. 금융위는 점검 결과를 바탕으로 내년 1분기 중 보안 내부통제 가이드라인도 마련한다.
취약점 분석·평가 제도도 강화한다. 현재 금융회사는 외부기관으로부터 연 1회 이상 전산시스템 취약점을 점검받아 당국에 제출해야 한다. 앞으로는 대형 금융회사부터 점검 주기를 연 1회에서 2회로 단축하고, 전자금융거래와 직·간접적으로 관련된 모든 외부접점을 평가 대상에 포함하도록 의무화한다. 긴급한 취약점 점검이 필요한 경우 금융당국이 수시 평가를 요구할 수 있는 근거도 마련한다.
중요 취약점을 장기간 방치한 금융회사에는 시정명령을 내리고, 미이행 시 이행강제금을 부과하는 방안도 추진한다. 점검주기 단축과 외부접점 평가 대상 확대, 수시평가 근거 등은 전자금융감독규정 개정안에 담아 이달 중 규정변경 예고를 실시할 계획이다.
금융권 공동 해킹 관제시스템도 고도화한다. 대형 금융회사가 자체 관제 과정에서 탐지한 공격방식, 공격자 IP, 악용된 취약점, 악성코드 정보 등을 통합관제시스템을 통해 전 금융권에 신속히 전파하는 방식이다. 해당 시스템은 12월 중 시범운영을 거쳐 내년 1분기 중 전 금융권에서 활용할 수 있도록 추진한다.
2차 피해 방지를 위한 대응도 강화한다. 금융당국은 다크웹과 텔레그램 등 온라인 채널을 상시 모니터링해 금융권 탈취정보 유통·거래 여부, 금융회사 대상 침해공격 정황, 새로운 악성코드와 보안 취약점 출현 여부 등을 살핀다. 개인정보 유출·거래가 확인되면 금융회사를 통해 고객통지, 추가 피해 예방 안내, 피해 보상 등 필요한 조치가 이뤄지도록 할 방침이다.
보이스피싱 대응 체계도 손본다. 금융권 공동 보이스피싱 정보공유·분석 플랫폼인 'ASAP'의 인공지능(AI) 분석 기능을 강화해 범죄계좌를 보다 신속하게 탐지·동결하는 체계를 구축한다. 금융회사가 범죄 의심 거래를 ASAP에 질의하면 AI가 보이스피싱 연루 가능성을 점수로 제시하는 ‘의심거래 판단지수’를 이달부터 시범 도입한다.
금융위는 보이스피싱 피해자의 피해금 일부를 금융회사가 보상하는 무과실책임 법제화도 추진한다. 금융회사의 과도한 부담으로 이어지지 않도록 보상대상, 한도, 면책범위 등 구체적인 적용요건은 하위규정에서 설계할 방침이다.
AI 기반 신보안체계 구축을 위한 망분리 규제 전면해제 태스크포스(TF)도 가동한다. TF에서는 데이터 중요도에 따른 관리·보호체계, 제로트러스트 등 대체 보안수단, CEO·이사회·CISO의 역할과 책임, 침해사고 발생 시 업무연속성 확보방안 등을 논의한다.
/도수화 기자(dosh@inews24.com)