'금융사 해킹' 16곳으로 확대, 10만건 정보유출…"130곳 보안 미흡"

[서울=뉴시스]김민수 기자 = 최근 금융권에서 잇따른 해킹 사고로 금융회사 16곳에서 약 10만건의 개인정보가 유출된 것으로 파악됐다. 금융회사 555곳을 대상으로 실시한 긴급 보안점검에서도 130곳이 보안패치 미적용 등 일부 미흡사항을 보고했다.

금융당국은 전 금융권 보안체계를 전수점검하고 최고경영자(CEO)의 보안관리 책임을 강화하기로 했다.

금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청 등 관계기관이 참석한 가운데 '제2차 긴급 상황대응 회의'를 개최하고 이 같은 내용을 논의했다고 밝혔다.

금융당국에 따르면 최근 신한은행 침해사고 전후로 해킹 사고가 확인된 금융회사는 은행과 저축은행, 상호금융, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 전 업권에 걸쳐 총 16곳이다.

은행권에서는 신한·KB국민·BNK부산·하나은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳에서 사고가 확인됐다.

여신전문금융업권에서는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업권에서는 PFCT와 모우다, 전자금융업권에서는 브라이트픽스가 포함됐다. 가상자산사업자인 스트리미와 프라뱅, 상호금융업권의 새마을금고중앙회에서도 사고가 발생했다.

현재까지 확인된 개인정보 유출 규모는 약 10만건으로, 성명과 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 계좌 비밀번호와 카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다.

금융당국은 금융회사들이 공유된 공격자 인터넷프로토콜(IP) 등을 토대로 추가 침해 여부를 확인하고 있어 사고 발생 회사가 더 늘어날 가능성도 있다고 설명했다.

현재 금감원과 금융보안원은 현장조사 등을 통해 침해 경로와 공격방식을 파악하고 있다. 개별 사고 간 연관성과 동일한 공격 주체의 소행인지 여부, 인공지능(AI)을 활용한 해킹 가능성 등도 정밀 조사 중이다.

금융당국이 지난 8일까지 금융회사 555곳을 대상으로 실시한 12개 항목의 보안 체크리스트 점검 결과, 425곳은 적정하다고 보고했으며 130곳은 일부 항목에서 미흡사항이 있다고 보고했다.

미흡사항이 발견된 금융회사 대부분은 보안패치와 관제체계 관련 1~2개 항목에서 보완이 필요한 것으로 나타났다. 특히 상대적으로 보안 역량이 취약한 전자금융업과 온라인투자연계금융업 부문에서 미흡사항이 비교적 많이 발견됐다.

주요 문제점으로는 최신 보안패치 미적용, 제조사 기술지원이 종료된 노후 시스템 관리 미흡, 24시간 실시간 보안관제체계 미구축 등이 지적됐다.

외부에 노출된 시스템의 인증·인가 절차가 누락되거나 중요 서비스에 다중요소인증(MFA)이 도입되지 않은 사례도 확인됐다.

금융당국은 미흡사항이 발견된 금융회사들이 보안패치 적용과 노후 장비 교체, 보안관제 인력·설비 확충, 접근통제 강화 등의 보완조치 실행계획을 제출하고 즉시 조치를 시행 중이라고 설명했다.

금융당국은 이번 점검에서 드러난 취약점이 반복되지 않도록 금융권 보안관리체계 전반을 개편할 방침이다.

우선 기존 12개 항목의 긴급 점검에서 나아가 금융회사의 보안체계와 관리시스템 전반에 대한 전수점검을 추진한다.

외부와 연결되는 전산시스템의 모든 접점을 목록화하고 인증·접근통제 권한을 엄격히 관리하도록 할 계획이다. 외부접점 관리와 관련한 CEO, 최고정보보호책임자(CISO), 최고정보책임자(CIO) 등의 보고체계와 책임범위도 명확히 한다.

금융회사의 취약점 점검 주기도 확대한다.

현재 금융회사와 전자금융업자는 전자금융거래법 등에 따라 연 1회, 외부 홈페이지는 연 2회 취약점 점검·평가를 실시해야 한다.

금융당국은 고객 수가 많고 외부접점이 넓은 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 중요한 외부접점을 필수 점검대상에 포함하는 방안을 추진한다. 긴급한 경우 수시점검을 실시할 수 있는 근거도 마련하는 방안을 검토한다.

금융당국은 보안점검 권고가 실제 현장에서 제대로 이행되도록 CEO 책임 강화와 제재 실효성 제고를 위한 제도 개선도 추진할 방침이다.

금융권의 해킹위협 공동 대응체계도 강화한다.

현재 금감원과 금융보안원이 파악한 해킹위협 정보는 통합관제시스템(FIRST) 등을 통해 금융권에 전파되고 있지만 개별 금융회사가 자체적으로 탐지한 위협정보는 공유되지 않고 있다.

이에 금융회사들이 자체적으로 파악한 위협정보도 통합관제시스템을 통해 공유할 수 있도록 개선하고, 금융회사가 침해위협 수준을 직관적으로 확인하고 대응할 수 있는 AI 위협수준 정보체계도 마련할 예정이다.

AI를 활용해 외부 노출 자산과 내부 소스코드, 모바일 애플리케이션 등의 취약점을 탐지하는 점검 인프라도 구축한다.

자체 보안 역량이 부족한 중소형 금융회사에 대한 지원도 확대한다. 금융보안원과 업권별 협회·중앙회가 AI 기반 공동 보안관제시스템을 구축하는 방안을 검토하고, 중소형 금융회사에 맞춘 보안안내서도 마련할 예정이다.

전자금융거래법 적용 대상에서 제외돼 상대적으로 보안관리가 어려웠던 대부업체와 보험대리점(GA) 등에 대해서도 보안위협 대응 요령을 전파하는 등 관리 강화 방안을 추진한다.

신진창 금융위 사무처장은 "그간 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라며 "금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 하겠다"고 밝혔다.

이어 "AI 보안위협 확대에 대비해 'AI 공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 덧붙였다.


◎공감언론 뉴시스 [email protected]