이억원, 금융권 해킹에 외부노출 IT자산 전수점검 주문…"유사 사고 엄단"

전 금융권 긴급 점검회의…이찬진 원장 등 참석
외부접점·인증·접근통제 등 전면 점검 지시
불필요한 외부접근 원칙적 차단도 주문

이억원 금융위원장이 최근 주요 시중은행을 비롯한 다수 금융회사가 인공지능(AI)을 활용한 해킹 공격을 받자 전 금융권에 정보보안 체계 전반을 원점에서 재점검할 것을 주문했다. 외부에 노출된 IT 자산과 서비스를 전수 점검하고 업무에 필수적이지 않은 외부 접근은 원칙적으로 차단하도록 했다. 이미 공유된 공격 정보와 사고 사례에도 적절한 조치를 취하지 않아 유사한 침해사고가 발생할 경우 엄정 대응한다는 방침이다.

이 위원장은 4일 오후 정부서울청사에서 최근 금융권 침해 위협 대응을 위한 '전 금융권 긴급 점검회의'를 주재하고 이 같이 밝혔다. 회의에는 이찬진 금융감독원장과 박상원 금융보안원장, 전 금융업권별 협회장과 시중은행장 등 주요 금융회사 관계자들이 참석했다. 과학기술정보통신부와 개인정보호위원회, 경찰청도 참석해 범정부 대응체계를 점검하고 공조를 강화하기로 했다.

금융당국이 긴급 점검에 나선 건 최근 주요 금융회사에 대한 사이버 공격 정황이 잇따라 확인되고 있어서다. 금융당국은 지난달 30일 신한은행의 침해사고 신고를 접수한 날부터 현장조사에 착수해 사고 원인과 피해 범위를 파악하고 있다. 이후 다른 금융회사에서 접수된 침해신고에 대해서도 사고 조사를 진행 중이다.

금융당국은 우선 전 금융권에 외부접점과 침해활동 탐지체계를 전면 재점검하도록 했다. 외부에 노출된 IT 자산과 서비스를 빠짐없이 파악하고 보안 취약점과 인증·접근통제, 침해활동 탐지체계 등을 확인하라는 주문이다. 은행·카드사뿐 아니라 상호금융, 저축은행, 보험, 증권, 핀테크 등 중소형 금융회사도 자체 점검을 신속히 마친 뒤 결과를 금융위·금감원에 보고해야 한다.

이미 공유된 공격 IP와 공격수법, 침해시도 내역 등이 각 금융회사의 탐지·차단체계에 제대로 반영됐는지도 점검하도록 했다. 금융당국은 공격 정보와 사고 사례가 공유됐는데도 필요한 점검과 대응을 소홀히 해 유사 사고가 발생하면 관련 법령에 따라 엄정 대응할 방침이다.

외부접점 통제도 강화한다. 금융회사는 고객 대상 서비스뿐 아니라 임직원이 업무상 이용하는 외부접점과 시스템 접근경로까지 빠짐없이 식별해 점검해야 한다. 서비스 제공이나 업무 수행에 필수적인 경우가 아니면 외부접근을 원칙적으로 차단하고, 불가피한 경우에도 접근권한과 조회 가능한 정보를 최소화하도록 했다.

특히 최근 침해사고 원인으로 지목된 대출모집인·위탁업체 등 외부인력과 임직원이 사용하는 시스템도 집중 점검해야 한다. 개인신용정보가 불필요하게 보관·조회되지 않도록 하고, 인증 절차가 누락되거나 우회할 수 있는 접근 경로가 있는지 등도 살핀다.

소비자 피해 방지 조치도 강화한다. 침해사고가 발생한 금융회사는 유출정보 범위와 소비자 피해 가능성을 신속히 파악해 추가 정보유출이나 금전피해 방지 조치를 즉시 시행해야 한다. 피해가 확인되면 소비자에게 관련 내용을 통지하고 피해구제·보상에 나서야 된다. 보이스피싱·스미싱 등 2차 피해에 대비해 이상금융거래 탐지 및 소비자 안내도 강화한다.

아울러 금융당국은 금융회사와 관계기관 간 위협정보 공유도 확대할 방침이다. 최근 사고에서 확인된 공격 IP와 공격수법, 침해시도 내역 등을 신속히 공유해 각 금융회사의 탐지·차단에 즉시 활용하도록 한다. 과기부·개보위·경찰청 등 관계부처 간 공조를 강화하고 다른 산업과의 위협정보 공유도 확대할 예정이다.

AI를 활용한 보안체계 전환에도 속도를 낼 전망이다. 금융당국은 현재 추진 중인 망분리 규제 긴급 완화 시행과 전면해제 검토 등의 조치를 강조하며, 'AI 공격은 AI로 방어하는' AI 기반 보안체계 전환을 금융권에 주문했다.

이 위원장은 "한 금융회사의 보안 취약점이 금융권 전반의 위험으로 이어질 가능성도 커지고 있다"며 "전 금융권은 이번 사태를 계기로 비상한 각오와 최고 수준의 경각심을 갖고 정보보안 체계 전반을 원점에서 재점검하고 보안 수준을 한 단계 높여야 한다"고 밝혔다. 이어 "사고 원인조사를 통해 침해 위협의 실체를 신속하고 명확히 규명하고 소비자보호 조치가 철저히 이뤄지는지 면밀히 지도·감독하겠다"며 침해사고의 유형과 피해 양상을 분석해 필요한 제도 개선도 추진하겠다고 강조했다.

권해영 기자 roguehy@asiae.co.kr