금융권 해킹 잇따르자…금융당국, 보안체계 전면 개편

580여개사 전수점검 실시…'후속 사고' 엄정 책임 추궁

이억원 금융위원장이 'AI 시대 보안체계 혁신을 위한 금융권 간담회'를 주재하고 있다. ⓒ 금융위원회

[프라임경제] 금융권 해킹 사고가 잇따르자 금융당국이 보안체계 전면 개편에 나섰다. 금융권 전수점검과 함께 보이스피싱 피해에 대한 금융사 배상책임이 강화될 예정이다.

금융위원회는 이억원 위원장 주재로 4일 오전 금융보안원 여의도 본원에서 금융권과 함께 'AI 시대 보안체계 혁신을 위한 대응방안(이하 혁신방안)'을 논의했다.

금융당국에 따르면 금융권 침해사고는 지난 9월 30일부터 이달 3일까지 총 37개사에서 40건이 신고됐다. 침해사고로 유출된 정보는 현재까지 약 47만3000건으로 파악됐다.

이날 회의에서는 크게 △취약점 점검 △2차 피해 방지를 위한 방어체계 마련 △AI 기반 보안체계 구축 등 3가지 주제를 다뤘다.

금융사와 가상자산사업자 등 약 580개사는 오는 11월부터 12월까지 모든 IT 자산의 외부 접점과 내부통제 운영 실태를 전수 점검한다. 대고객 서비스뿐만 아니라 직원 관리나 제휴 업무 등 외부에서 접근할 수 있는 모든 영역이 대상이다.

서비스·업무에 불필요한 외부 연결은 즉시 차단해야 한다. 금전 피해나 개인정보 유출로 이어질 수 있는 취약점이 발견되면 보완이 완료될 때까지 해당 서비스도 즉각 중단해야 한다.

대상 기관은 점검 결과 문제가 없더라도 점검 방법과 판단 근거 등을 상세히 기록해야 한다. 자체 점검 내용이 부실하거나 중대한 취약점이 드러난 기관에는 금융감독원과 금융보안원이 직접 현장 점검을 실시한다.

금융당국은 전수 점검 과정에서 확인된 관리 부실에 대해서는 즉각적인 보완을 전제로 최대한 유연하게 처리한다. 다만 후속 사고에는 엄정하게 책임을 물을 예정이다.

아울러 상시 보안관리를 위한 제도적 장치도 강화한다. AI 기반 침해 위협에 대응하려면 공격 IP 등 관련 정보의 신속한 공유가 필수적이지만, 현재 금융사 간 정보 공유는 미흡한 상태다. 이에 개별 금융사가 탐지한 해킹 의심 정보를 오는 12월부터 금융감독원 통합관제시스템을 통해 금융권 전체에 공유하는 시범사업을 시작한다.

외부기관을 통한 취약점 분석·평가 주기도 연 1회에서 2회로 늘어난다. 우선 총자산 2조원 이상이면서 종업원 300명 이상인 대형 금융사에 적용하고, 2028년부터는 중소형사를 포함한 모든 금융사로 확대한다.

외부기관 점검에서 드러난 중대한 보안 취약점을 금융사가 장기간 방치하면 금융당국은 시정명령을 내릴 수 있다. 명령을 이행하지 않은 금융사에는 이행강제금을 부과할 수 있도록 전자금융거래법 개정도 추진한다.

◆유출 정보, 범죄 악용 2차 피해 방지

최근 침해사고로 유출된 개인정보가 텔레그램 등을 통해 유통될 가능성이 제기되고 있다. 하지만 금융사가 이를 자체적으로 파악하고 대응하기는 쉽지 않다는 게 금융권의 중론이다.

ⓒ 제미나이 생성 이미지

이에 금융당국은 금융보안원을 통해 다크웹·텔레그램 등 각종 음성적 채널을 상시 모니터링한다. 주요 점검 대상은 △금융권 탈취 정보의 유통·거래 여부 △금융사 대상 침해 공격 정황 △신규 악성코드 및 취약점 출현 상황 등이다.

금융보안원은 탈취 정보의 거래 사실이 확인되면 고객 통보와 보상이 즉각 이뤄지도록 대응한다. 개인정보가 불법 유통되는 국내 온라인 채널을 발견하면 관계부처와 협조해 사이트 폐쇄도 검토한다.

금융권 공동 보이스피싱 정보공유·분석 플랫폼(ASAP)에는 AI 기반 '의심거래 판단지수'를 이달부터 시범 도입한다. 금융사가 거래 정보를 질의하면 ASAP가 사기 범죄 가능성을 0~100점으로 수치화해 답변하는 방식이다.

금융당국은 금융회사가 보이스피싱 피해금을 일정 부분 보상하는 '무과실책임'을 법제화하기 위해 통신사기피해환급법 개정안의 연내 국회 통과를 추진한다.

개정안은 송금계좌와 수취계좌를 관리하는 금융회사가 보상금을 1대 1로 분담하는 내용을 담았다. 아울러 통신사의 책임 강화를 위한 정부 차원의 공론화도 병행한다.

금융당국은 망분리 규제 중심의 현행 체계가 AI 등 신기술을 활용한 능동적인 보안 대응을 가로막고 있다고 진단했다. 이에 'AI 공격은 AI로 방어하는' 포스트 망분리 보안체계 구축에 속도를 낸다.

이달 중 금융위와 과기정통부, 국정원, 개인정보보호위원회 등 정부 부처를 비롯해 유관기관과 민간 전문가, 금융권이 참여하는 '망분리 규제 전면해제 TF'를 발족한다.

TF는 고도의 AI·보안 역량을 갖춘 금융사를 선정해 엄격한 대체 통제 체계 아래 규제를 단계적으로 전면 해제하는 방안을 내년 1분기까지 마련한다.

이억원 금융위원장은 "디지털 안전법도 조속히 추진하겠다"며 "가상자산사업자 등 많은 고객정보를 보유하거나 사고 시 손실발생 우려가 큰 업종에 대해서는 전자금융거래법에 준하는 보안규율을 적용해 나가겠다"고 강조했다.

이어 "금융권 최고경영자들은 절체절명의 위기상황임을 명확히 인식해야 한다"며 "전사적인 비상대응반을 즉시 구성해야 한다"고 당부했다.