해커는 AI로 무장했는데…금융권 뚫은 건 '기본의 빈틈' [기자수첩-금융]

은행 넘어 저축은행·캐피탈까지 피해 확산

외부 업무시스템 등 보안 사각지대 노출

보안 투자·사후 점검 중심 대응 되짚어야

최근 금융권에서 인공지능(AI)을 활용한 해킹 공격이 잇따르면서 금융회사의 보안 관리와 당국의 대응 체계를 강화해야 한다는 지적이 나온다.ⓒ클립아트코리아

금융권이 인공지능(AI)을 활용한 해킹 공격에 잇따라 노출되면서 보안 체계가 시험대에 올랐다.

은행에서 시작된 피해가 저축은행과 캐피탈 등으로 번진 데 이어 보험사에서도 침투 시도 정황이 확인됐다.

증권과 보험·카드사 등도 자체 점검에 들어간 만큼 피해 범위가 더 넓어질 가능성도 남았다.

이번 사태가 심상치 않은 것은 AI를 활용해 여러 금융사를 동시다발적으로 겨냥했다는 점이다.

특정 금융회사 한 곳을 노리는 데 그치지 않고 비슷한 방식으로 다수 금융사의 취약점을 탐색한 정황이 나타났다.

실제로 최근 신한은행 공격에 사용된 인터넷주소(IP) 일부가 올해 초부터 토스뱅크 서버에도 접근을 시도한 것으로 알려졌다.

일부 생명보험사에서도 같은 IP의 침투 시도 흔적이 확인됐다.

하지만 이번 사태를 단순히 'AI 해킹의 등장'으로만 바라봐서는 문제의 본질을 놓칠 수 있다.

공격 수단은 진화했지만 정작 파고든 곳은 기본적인 보안 관리의 빈틈이었다.

고객의 인터넷·모바일뱅킹을 직접 담당하는 핵심 시스템보다 직원이나 대출모집인 등이 사용하는 업무지원 서비스와 외부 접점 시스템이 주요 공격 대상이 됐다.

외부에 노출된 시스템이나 접근 권한 등을 보다 촘촘하게 관리했다면 피해 가능성을 낮출 여지가 있었다는 얘기다.

결국 AI라는 새로운 공격 수단만 탓할 게 아니라 금융사의 기본적인 보안 관리가 제대로 작동했는지도 따져봐야 한다.

금융회사들은 그동안 디지털 전환을 앞세워 AI와 플랫폼 등 새로운 기술 도입에 속도를 내왔다. 반면 이를 뒷받침할 보안 투자에도 같은 무게를 뒀는지는 의문이다.

5대 금융지주는 지난해 20조원이 넘는 순이익을 거뒀지만 5대 은행의 정보보호 관련 집행액은 오히려 감소했다.

보안은 당장 수익을 만들어내지 않고 사고가 발생하지 않는 한 투자 효과도 눈에 잘 드러나지 않는다.

하지만 금융회사가 다루는 것은 고객의 자산과 개인정보다.

한번 유출된 개인정보가 보이스피싱이나 대출사기 등 2차 피해로 이어질 수 있다는 점까지 고려하면 보안을 단순한 비용으로 바라보기 어렵다.

더구나 금융 시스템이 촘촘하게 연결된 상황에서는 한 회사의 빈틈이 그 회사만의 문제로 끝나지 않는다.

상대적으로 투자 여력이 부족한 중소 금융사나 관리가 소홀한 외부 시스템이 공격의 통로가 되면 위험은 금융권 전반으로 번질 수 있다.

금융당국의 대응 역시 사후 점검에 머물러서는 안 된다.

사고가 발생할 때마다 금융회사를 소집하고 전수점검을 지시하는 것만으로 빠르게 진화하는 공격에 대응하기에는 한계가 있다.

특정 금융사에서 확인된 공격 정보와 취약점을 다른 금융사들이 신속하게 공유하고 같은 방식의 공격을 곧바로 탐지·차단할 수 있는 공동 대응 체계를 강화해야 한다.

대규모 사이버 공격이 발생하더라도 결제와 예금·대출 등 핵심 금융서비스를 유지하고 신속하게 복구할 수 있는 능력도 평소 점검할 필요가 있다.

AI가 금융서비스를 빠르게 바꾸는 만큼 이를 노리는 공격 역시 더욱 정교해질 것이다. 그렇다고 모든 사고를 새로운 기술 탓으로 돌릴 수는 없다.

해커가 AI로 무장한 시대일수록 필요한 것은 화려한 기술보다 빈틈없는 기본이다.

이미 알려진 취약점을 방치한 채 사고가 발생한 뒤에야 다시 점검하는 일이 반복된다면 다음 해킹 역시 '예상하지 못한 공격'이라고 말하기는 어렵다.