"개인정보가 곧 안보인데"…금융권 해킹에 보안 감독 시험대

금융권 19곳 침해…고객정보 유출

점검에도 보안 구멍…감독 실효 도마

최근 금융권 20곳 이상에서 해킹 등 침해사고가 확인됐다. 일부 금융사에서는 고객 개인정보가 유출됐으며, 자산운용사와 가상자산거래소에서는 내부 시스템 침입도 발생했다. 해당 이미지는 AI로 제작됨

최근 금융회사들이 잇따라 해킹 공격에 노출되면서 금융권 보안에 경고등이 켜졌다.

반복되는 침해사고에 고객 자산과 금융정보를 지켜야 할 금융사들의 보안관리 책임은 물론 금융당국의 감독 실효성까지 도마에 올랐다.

2일 금융투자업계에 따르면, 최근 해킹 침해사고가 확인된 금융사는 총 20곳 이상이다.

업권별로는 ▲은행 4곳(신한은행·KB국민은행·하나은행·BNK부산은행) ▲저축은행 4곳(예가람·웰컴·DB·OK저축은행) ▲가상자산사업자 3곳(스트리미·프라뱅·빗썸) ▲여신전문금융사 2곳(현대캐피탈·산은캐피탈) ▲온라인투자연계금융업체 2곳(PFCT·모우다) ▲증권사 1곳(대신증권) ▲자산운용사 1곳(미래에셋자산운용) ▲보험사 1곳(미래에셋생명) ▲상호금융 1곳(새마을금고중앙회) ▲전자금융업체 1곳(브라이트픽스) 등이다.

피해는 고객 개인정보 유출부터 내부 시스템 침입까지 다양했다.

고객 개인정보 유출이 확인된 곳은 신한은행과 예가람·웰컴·OK저축은행, 대신증권 등이다.

신한은행에서는 고객 약 2만5700명, 예가람저축은행에서는 약 4만2900명, 웰컴저축은행에서는 약 2100명, OK저축은행에서는 518명의 정보가 유출됐다.

대신증권에선 비대면 계좌개설 연계 서버에 외부 침입이 발생하면서 고객 3만8490명의 개인정보가 유출됐다.

유출 항목에는 이름과 이메일, 주소, 은행명, 암호화된 계좌번호 등이 포함됐다.

내부 업무시스템을 노린 공격도 있었다.

미래에셋자산운용은 일부 웹 시스템에서 비정상적인 외부 접근을 확인했으며, 업무용 시스템 관련 정보가 유출된 것으로 파악됐다.

빗썸 역시 사내 모바일 그룹웨어에 외부 비인가자가 접근해 임직원 정보가 유출된 것으로 알려졌다.

이같은 연쇄 해킹에서는 중국산 인공지능(AI) 침투 도구 '아르텍스(ARTEX)'가 악용된 것으로 알려졌다.

북한 IP 대역에서 금융권을 겨냥한 대규모 접근 시도도 확인됐다.

금융당국에 따르면 지난 21일 북한에 할당된 IP 대역에서 국내 금융사 시스템의 취약점을 탐색하는 접근 시도가 총 440만4101건 탐지됐다.

이 가운데 금융사들의 허술한 보안관리를 향한 비판도 커지고 있다.

고객의 자산과 민감한 개인정보를 다루는 금융회사가 기본적인 보안조차 제대로 지키지 못하면서 금융거래 전반에 대한 신뢰를 떨어뜨리고 있다는 지적이다.

금융당국의 보안 감독 실효성에도 의문이 제기된다.

금융정보 유출은 개인의 금전적 피해를 넘어 국가안보에도 영향을 미칠 수 있는 만큼 보다 철저한 관리·감독이 필요하다는 것이다.

현행 전자금융감독규정에 따르면 금융회사들은 전자금융기반시설의 보안 취약점을 연 1회 이상, 공개용 홈페이지는 6개월마다 점검해야 한다.

침해사고 대응훈련도 연 1회 이상 실시하며, 점검 결과와 보완계획은 금융당국에 보고하도록 돼 있다.

그러나 이러한 점검 체계에도 보안 허점은 여전했다.

금융당국이 지난 8일까지 금융사 555곳을 대상으로 긴급 자체점검을 실시한 결과, 130곳(23.4%)에서 보안관리 미흡사항이 확인됐다.

주요 문제점은 보안패치 미적용과 노후 시스템 관리 부실, 24시간 보안관제체계 미구축 등이었다.

이에 금융당국은 대형 금융회사의 취약점 점검 주기를 연 2회 이상으로 확대하고, 외부 연결 시스템에 대한 점검을 강화하는 방안을 추진하고 있다.

전문가들은 당국과 금융권의 보안 투자 확대와 경영진의 책임 강화가 필요하다고 지적한다.

해킹 기술은 갈수록 고도화하고 있지만 금융사들은 보안을 비용으로 인식해 투자를 소홀히 하는 경향이 있다는 것이다.

특히 AI를 활용한 해킹이 고도화하는 만큼 AI 기반 보안 기술 개발과 도입을 지원하고, 금융사 최고경영자(CEO)의 보안관리 책임도 강화해야 한다는 것이다.

김명주 서울여대 지능정보보호학부 교수는 "기업은 이윤 때문에 비용을 줄이는 게 자연스럽지만, 보안은 하루아침에 무너질 수 있는 기초"라며 "기초를 빼내면서 건물만 높이는 꼴"이라고 지적했다.

이어 "해킹 사고가 발생하면 CEO가 직접 책임지고 조치해야 한다"며 "매출액 대비 보안 투자 비율과 전문인력 배치 기준도 강화할 필요가 있다"고 강조했다.