금융권, 해킹 대비 훈련했지만…다른 시스템서 정보유출

김형연 의원 "훈련 선정 기준 조속히 정비해야"

국내 주요 시중은행 본점 전경. ⓒ 각 사

[프라임경제] 최근 2년간 금융권 블라인드 모의해킹 훈련이 기존 사고 유형에 치중된 것으로 나타났다. 올해 하반기 잇따른 정보유출 사고는 훈련 대상에서 제외된 시스템에서 발생하면서 당국의 점검 기준이 도마 위에 올랐다.

20일 국회 정무위원회 소속 김형연 조국혁신당 의원이 금융감독원으로부터 제출받은 자료에 따르면 지난해와 올해 실시한 블라인드 모의해킹 훈련 대상에 지난달 실제 해킹을 당한 은행 시스템은 포함되지 않았던 것으로 나타났다.

블라인드 모의해킹은 금융회사의 해킹 탐지·차단 능력과 비상 대응 역량을 점검하는 훈련이다. 공격 일시와 대상을 금융회사에 사전 고지하지 않은 채 화이트해커가 실제 해킹과 유사한 방식으로 공격을 시도한다.

금감원은 지난해와 올해 각각 금융회사 20곳을 대상으로 훈련을 실시했다.

김 의원실에 따르면 2년간 훈련 대상 시스템은 △디도스(DDoS) 대응 시스템 △일부 대표 홈페이지 웹서버 △가상사설망(VPN) △모바일단말관리(MDM) 등이다. 올해는 인공지능(AI) 서비스 일부도 대상에 추가됐다.

금감원은 훈련 대상 시스템 선정 기준에 대해 "최근 침해사고 발생 여부와 주요 훈련 유형을 고려했다"고 설명했다. 과거 침해사고 발생 이력과 주요 훈련 유형을 바탕으로 대상을 선정한 셈이다.

하지만 실제 해커들은 훈련 대상에서 제외된 시스템을 공격했다. 올해 9월 이후 해킹 피해가 발생한 시스템은 △신한은행 대출모집인용 조회 서비스 △KB국민은행 직원용 모바일 업무지원 시스템 △하나은행 임직원용 영업지원 시스템 △부산은행 외주관리 시스템 등이었다.

금융당국이 일반 고객용 대표 홈페이지 등을 점검하는 동안 해커들은 훈련 대상에서 빠진 대출모집인·임직원·외주업체용 외부 접속 시스템을 공격한 것이다.

김형연 의원은 "금융당국이 2년 동안 모의해킹을 실시했지만 정작 사고가 발생한 시스템은 훈련 대상에서 빠져 있었다"며 "실제 해커와 화이트해커가 서로 다른 곳을 보게 만들어 역량을 제대로 살리지 못한 셈"이라고 지적했다.

이어 "최근 발생한 사고를 기준으로 점검 대상을 선정하면 해커보다 늘 한발 늦을 수밖에 없다"며 "금융위원회는 외부와 연결된 업무 시스템 등이 법정 취약점 점검 대상에서 누락되지 않도록 선정 기준을 조속히 정비해야 한다"고 강조했다.