금융사 침해사고로 약 10만건 정보 샜다…금융위, 보안 시스템 전수조사

금융위, 제2차 긴급상황대응 회의…"사고 발생 금융사 추가 가능성"
금융사 침해사고 발생 총 16곳…약 10만건 유출
보안체계·관리시스템 전수점검…CEO 책임 범위 명확화

금융권 해킹 사고를 전후해 침해사고가 확인된 금융회사는 은행 등 전업권에 걸쳐 16개 사로 파악됐다. 정보 유출 규모만 10만 건에 달한다. 금융당국은 인공지능(AI) 해킹 위협에 대비해 금융회사 보안체계·관리시스템을 전수 점검하기로 했다. 또 고객수가 많은 대형 금융회사의 경우 취약점 점검 평가 주기를 연 2회 이상으로 확대하기로 했다.

금융위원회는 14일 신진창 금융위 사무처장 주재로 금융감독원 등 관계기관과 함께 '제2차 긴급 상황대응 회의'를 개최하고 이 같은 내용을 논의했다. 이날 회의는 전 금융권을 향한 전방위 해킹 공격 이후 금감원이 금융회사에 배포한 체크리스트 점검결과를 확인하고, 향후 이러한 사고가 재발하지 않도록 하기 위한 정책 과제를 논의하기 위해 개최됐다.

금융위에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융회사는 은행·저축은행· 상호금융·여전업·전금업·온투업·가상자산사업자 등 전 업권에 걸쳐 총 16개사로 파악됐다. 금융회사들이 공유된 IP 등을 바탕으로 침해발생 여부를 확인중이라는 점을 고려하면 사고발생 금융회사 수는 이보다 더 확대될 수 있다고 금융위는 설명했다.

현재까지 확인된 금융회사들의 정보유출 규모는 약 10만건 수준으로 성명, 연락처, 주민등록번호, 이메일 등이 포함됐다. 직접적 부정결제 우려가 있는 계좌번호, 카드번호 등의 유출은 확인되지 않았다.

8일까지 금융권 555개사에 대한 12개 항목의 체크리스트 점검을 마무리한 결과 총 425개사는 '적정'으로 제출했으며, 130개사는 미흡사항이 있다고 보고됐다. 미흡사항이 발견된 회사들은 대부분 보안패치·관제체계 관련 1~2건의 점검항목에서 보완이 필요하다고 파악됐으며, 상대적으로 보안역량이 약한 전금업·온투업 부문에서 비교적 많은 미흡사항이 발견됐다. 이에 각 금융회사는 신속한 보완 조치 실행 계획을 보고하는 한편 이를 즉시 실행 중이다.

금융위는 이번 점검 결과 발견된 취약 요인을 방지할 수 있도록 금융회사 보안체계 관리시스템 전수 점검을 추진하기로 했다. 특히 전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화하고 외부접점의 인증, 접근통제 권한을 명확히 설정해 관리할 계획이다. 아울러 외부접점 관리 등 보안체계 운영·관리와 CEO·CISO·CIO 등의 보고체계, 책임 범위 등도 명확히 하도록 지도·감독할 예정이다.

금융권 해킹 위협을 조기에 포착하고, 공동 대응하는 체계 마련과 함께 금융회사가 상시적으로 면밀한 보안관리를 하도록 제도기반도 마련한다. 금융회사·전자금융업자는 전자금융거래법과 전자금융감독규정에 따라 연 1회, 외부 홈페이지는 연 2회 각각 취약점 점검·평가를 의무적으로 해야 한다. 앞으로는 공격표면·외부접점이 넓고 고객 수가 많은 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 중요한 외부접점 등은 필수 점검 대상에 포함하는 방안을 추진한다. 필요할 경우 수시점검을 할 수 있는 근거도 마련한다.

AI 보안 위협에 대해 충분한 대응 여력을 갖추기 어려운 중소형 금융회사 등에 대한 지원방안도 추진한다. 금융보안원이 각 업권 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축을 검토하고, AI 침해위협에 대비한 공격표면 점검(블랙박스 테스트), 중소형 금융회사 맞춤형 보안안내서 마련 등 다양한 방안을 추진할 계획이다.

아울러 대부업, 보험GA 등 전자금융거래 적용 대상에서 빠져있어 AI 보안 위협에 대한 대응 요령을 신속히 전파하는 등 보안 강화방안도 조속히 검토·추진할 예정이다.

신 사무처장은 "이번 사고를 계기로 금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것"이라고 말했다.

김민영 기자 argus@asiae.co.kr