주요 시중은행에서 시작된 사이버 공격이 저축은행, 여신전문금융사, 가상자산사업자 등 2금융권과 관련 업권 전반으로 확산하며 총 16개 금융회사에서 침해사고가 확인됐다. 파악된 개인정보 유출 규모는 약 10만 건에 달한다. 금융당국은 전 금융권을 대상으로 긴급 점검을 실시하는 한편, 금융회사 최고경영자(CEO)의 보안 책임을 강화하고 인공지능(AI) 기반의 위협 대응체계를 구축하는 등 종합적인 제도 개선에 나서기로 했다.
금융위원회는 14일 정부서울청사에서 신진창 사무처장 주재로 ‘제2차 긴급 상황대응 회의’를 개최하고 금융권 침해사고 조사 경과와 보안점검 결과를 논의했다. 회의에는 금융감독원, 금융보안원, 과학기술정보통신부, 경찰청, 개인정보보호위원회 등 관계기관과 보안 전문가들이 참석했다.
시중은행 넘어 저축은행·가상자산사까지 16곳 피해
금융당국 조사 결과, 신한은행 침해사고 전후로 피해가 확인된 금융회사는 모두 16곳으로 늘어났다. 은행권에서는 신한·KB국민·하나·BNK부산은행 등 4곳, 저축은행권에서는 예가람·웰컴·DB·OK저축은행 등 4곳이 포함됐다. 여신전문금융사인 현대캐피탈과 산은캐피탈, 온라인투자연계금융업체인 PFCT와 모우다, 전자금융업체 브라이트픽스, 가상자산사업자인 스트리미와 프라뱅, 상호금융권의 새마을금고중앙회에서도 침해사고가 확인됐다.
10만 건 정보 유출…계좌·카드번호 유출은 없어
현재까지 확인된 유출 개인정보는 약 10만 건으로, 고객 이름, 연락처, 주민등록번호, 이메일 등이 포함됐다. 계좌번호나 카드번호 등 직접적인 부정결제로 연결되는 정보의 유출은 확인되지 않았다. 해커들은 해외 인터넷주소(IP)를 이용해 외부 홈페이지나 대출 신청 웹페이지 등 상대적으로 취약한 외부 접점을 노린 것으로 분석됐다. 앞서 금감원은 12개국에 분산된 공격자 IP 19개를 특정해 긴급 차단 및 점검을 지시했다.
555개사 중 130곳 보안 미흡…관제 허점 노출
금융당국이 555개 금융회사를 대상으로 실시한 긴급 점검 결과, 130개사에서 보안 미흡사항이 적발됐다. 미흡 사례는 전자금융업과 온라인투자연계금융업에서 비교적 많이 나왔다. 최신 보안패치 미적용, 기술지원이 종료된 시스템 관리 미흡, 24시간 실시간 관제체계 미구축 등이 주요 문제로 지적됐으며, 외부에 노출된 시스템의 인증 체계 미흡과 다중인증(MFA) 미적용 사례도 확인됐다.
당국, CEO 책임 강화·AI 기반 보안체계 구축
정부는 외부 전산 접점을 목록화하고, 대형 금융회사의 취약점 점검·평가 주기를 연 1회에서 연 2회 이상으로 확대할 계획이다. 중소형 금융회사를 위해서는 AI 기반 공동 보안관제 시스템 구축 방안을 검토한다. 아울러 금융회사 자체 해킹 위협정보를 통합관제시스템으로 공유할 수 있도록 체계를 손질하고, CEO와 최고정보보호책임자(CISO)의 보고체계 및 책임을 명확히 할 방침이다.
신진창 금융위 사무처장은 “수차례 전수점검과 관리 강화를 주문했음에도 기본적인 부분이 지켜지지 않은 사례가 발견된 것은 매우 뼈아픈 부분”이라며 “외부 접점과 인증관리뿐 아니라 전 금융권 보안관제 체계와 CEO·이사회 책임성 등 보안체계 전반을 재점검하겠다”고 밝혔다. 이어 “AI 공격은 AI로 방어하는 체계를 확립하기 위해 망분리 규제 완화 등 제도 개선도 속도감 있게 추진하겠다”고 덧붙였다.