금융권 해킹 피해 16개사로 확대…개인정보 10만건 유출

은행·저축은행·캐피탈·전금·가상자산 등 전 업권서 침해사고

555개 금융사 중 130곳 보안 미흡…패치·관제체계 취약

대형사 취약점 점검 연 2회 이상 확대·CEO 책임 강화 추진

금융위원회는 14일 신진창 사무처장 주재로 금융감독원·금융보안원 등 관계기관과 '제2차 긴급 상황대응 회의'를 열고 금융권 침해사고 조사 경과와 보안관리 강화 방안을 논의했다. ⓒ금융위원회

최근 금융권을 겨냥한 해킹 공격으로 침해사고가 발생한 금융회사가 총 16곳으로 늘어난 것으로 확인됐다.

현재까지 유출된 개인정보는 약 10만건으로 파악됐으며, 금융당국은 전 금융권 보안점검에서 130개사의 미흡사항을 확인하고 보안관리 체계를 전면 강화하기로 했다.

14일 금융위원회는 신진창 사무처장 주재로 금융감독원·금융보안원 등 관계기관과 '제2차 긴급 상황대응 회의'를 열고 금융권 침해사고 조사 경과와 보안관리 강화 방안을 논의했다.

금융당국 조사 결과 신한은행 침해사고 전후로 사고 발생이 확인된 금융회사는 모두 16곳이다.

은행권에서는 신한은행과 KB국민은행, BNK부산은행, 하나은행 등 4곳에서 침해사고가 확인됐다.

저축은행은 예가람저축은행, 웰컴저축은행, DB저축은행, OK저축은행 등 4곳이다.

여신전문금융회사에서는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업체에서는 PFCT와 모우다가 포함됐다.

전자금융업자는 브라이트픽스, 가상자산사업자는 스트리미와 프라뱅에서 사고가 확인됐다. 상호금융권에서는 새마을금고중앙회가 포함됐다.

금융당국은 현재 금융회사들이 공유된 공격자 인터넷주소(IP) 등을 바탕으로 추가 침해 여부를 확인하고 있어 사고 발생 금융회사 수가 더 늘어날 가능성도 있다고 설명했다.

각 사고 간 연관성과 동일 공격주체 여부, 인공지능(AI)을 활용한 해킹 가능성도 조사 중이다.

전 금융권을 대상으로 한 긴급 점검에서도 보안 취약점이 확인됐다.

금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 체크리스트를 점검한 결과, 425곳은 적정하다고 보고했지만 130곳에서는 일부 미흡사항이 발견됐다.

주요 미흡사항은 최신 보안패치 미적용, 제조사 기술지원이 종료된 시스템 관리 미흡, 24시간 실시간 관제체계 미구축, 외부 시스템 인증·인가 누락, 다중인증(MFA) 미도입 등이다.

특히 상대적으로 보안 역량이 약한 전자금융업과 온투업에서 미흡사항이 비교적 많이 발견됐다.

금융당국은 이번 사고를 계기로 금융회사 보안체계와 관리시스템을 전수점검하고 해킹 위협 관제 시스템도 고도화한다.

외부와 연결되는 모든 전산시스템 접점을 목록화하고 인증과 접근통제를 강화하는 한편, 보안체계 운영과 관련한 최고경영자(CEO)와 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 보고체계와 책임 범위도 명확히 할 방침이다.

현재 연 1회 실시하는 금융회사 취약점 점검·평가 주기도 대형 금융회사부터 연 2회 이상으로 확대하는 방안을 추진한다.

긴급한 필요가 있을 경우 수시점검을 할 수 있는 근거도 마련한다.

중소형 금융회사를 대상으로는 금융보안원과 각 업권 협회·중앙회가 공동으로 AI 기반 보안관제 시스템을 구축하는 방안도 검토한다.

신진창 사무처장은 "수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

이어 "전 금융권의 보안관제 체계와 CEO·이사회 등의 책임성 확보 등 보안체계 전반을 재점검하겠다"고 말했다.

아울러 "AI 보안위협 확대에 대비해 'AI공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도 개선도 속도감 있게 추진해 나가겠다"고 덧붙였다.