금융권 47만건 정보 유출…이억원 "경영진 책임 엄정하게 묻겠다"

금융권에서 한 달여간 37개사의 정보 약 47만3000건이 유출되고 약 10억원의 자금 탈취가 발생한 것으로 나타났다. 금융당국은 은행·보험·증권 등 전통 금융업권뿐 아니라 전자금융업과 가상자산업까지 포함한 580여개사를 대상으로 보안 취약점 전수점검에 나선다. 사고 예방을 위한 기술적 대응과 함께 최고경영자(CEO)를 비롯한 경영진의 보안 관리 책임도 강화한다.
금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원과 전 금융권 협회장, 관계부처 등이 참석한 가운데 '인공지능(AI) 시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 금융권 침해사고 현황과 대응 방안을 논의했다고 밝혔다.

금융당국에 따르면 지난 9월 30일 첫 침해사고가 확인된 이후 이달 3일까지 총 37개사에서 40건의 침해신고가 접수됐다. 업권별로는 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 상호금융 1개사, 여신전문금융회사 2개사, 온투업 4개사, 전자금융업 10개사, 가상자산업 3개사다.

유출된 정보는 임직원 정보와 고객 성명·주민등록번호·계좌번호 등이다. 다만 계좌 비밀번호 등 부정 결제로 이어질 수 있는 정보의 유출은 아직 확인되지 않았다. 주로 소규모 가상자산거래소와 전자금융업체, 온투업체에서 회사가 관리하는 자금이 탈취됐으며 규모는 약 10억원으로 파악됐다. 인터넷에 연결된 디지털자산 보관 지갑인 핫월렛과 소비성 포인트, 온투업 예치금 등이 대상이었다. 현재까지 개별 이용자의 자금 손실은 현실화하지 않은 것으로 파악됐다.
당국은 우선 금융·가상자산 관련 업체 580여곳을 대상으로 보안 취약점과 내부통제 실태를 전수점검한다. 전통 금융회사뿐 아니라 전자금융업과 온투업, 전자금융거래법 적용 대상이 아닌 가상자산업까지 점검 범위에 포함했다.

점검 대상은 전산시스템의 보안 취약점뿐 아니라 CEO와 정보보호최고책임자(CISO), 최고투자책임자(CIO)의 역할과 책임, 외부 접점 관리 및 내부 의사결정 절차 등이다. 관리대장에 등재된 시스템은 이달 30일까지, 미등재 시스템과 내부통제체계에 대한 점검은 연말까지 마무리할 계획이다.

금융회사가 자체 점검을 진행하되 점검 내용이 부실하거나 중대한 취약점이 발견되면 금감원과 금보원이 현장 점검에 나선다. 당국은 전수점검 과정에서 발견된 취약점과 기존 관리 부실에 대해서는 즉각적인 보완 조치를 전제로 유연하게 대응하되, 점검 이후 침해사고가 발생하면 엄정하게 조치한다는 방침이다.

금융권 공동 보안 대응체계도 강화한다. 대형 금융회사가 활용하는 통합관제시스템(FIRST)을 고도화해 다음 달 시범 운영하고 내년 1분기에는 전 금융권으로 확대할 예정이다. 전자금융법이 적용되지 않는 가상자산업권에는 한국인터넷진흥원(KISA)뿐 아니라 금감원과 금보원에도 침해사고를 즉시 신고하도록 하는 가이드라인을 이달 중 마련한다.
대형 금융회사의 취약점 분석·평가 주기는 연 2회로 단축하고 모든 외부 접점을 평가 대상에 포함하도록 의무화한다. 당국이 긴급한 경우 수시 평가를 요구할 수 있도록 하고 시정명령과 미이행 시 지속적인 이행강제금을 부과하는 방안도 추진한다. 중소형 금융회사에는 금융보안원의 원스톱 AI 방어 서비스와 맞춤형 보안 안내서 등을 지원한다.

정보 유출에 따른 2차 피해 방지 대책도 추진한다. 다크웹 등에서 유출된 개인정보가 유통되는지 모니터링하고 금융권 공동 보이스피싱 정보공유·분석플랫폼(ASAP)을 고도화해 범죄계좌를 신속하게 탐지·동결할 계획이다. 이달부터 AI 기반 '의심거래 판단지수'를 시범 도입하고 대포계좌와 신종 스캠 등을 탐지하는 공동 탐지 규칙도 추가한다.

AI 활용을 위한 보안 규제 개선도 병행한다. 당국은 '망분리 규제 전면해제 태스크포스(TF)'를 가동해 보안 목적의 AI·서비스형 소프트웨어(SaaS) 활용을 위한 망분리 규제 완화를 상시 제도화하고 혁신금융서비스를 통한 규제 완화도 추진한다. 아울러 가상자산업자와 법인보험대리점(GA), 클라우드 사업자와 플랫폼 등 제3자까지 보안 규율을 확대하는 '디지털금융안전법'을 내년 1분기 중 마련할 계획이다.

이억원 금융위원장은 "보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다"며 "중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 말했다.

최한결 글로벌이코노믹 기자 gksruf0615@g-enews.com