[더팩트ㅣ박지웅 기자] 금융권을 겨냥한 해킹 공격이 은행과 저축은행을 넘어 증권·보험·가상자산업계까지 확산하면서 금융당국의 보안관리 실효성을 둘러싼 논란이 커지고 있다. 금융당국이 대규모 침해사고 이후 긴급 보안점검과 대응책 마련에 나섰지만 추가 피해가 잇따라 확인되면서 사후 대응에 치중한 것 아니냐는 지적이다. 특히 최근 가상자산 거래소에서 처음으로 실제 금전 피해까지 발생하면서 개인정보 유출을 넘어 고객 자산 탈취로 피해가 확대될 수 있다는 우려도 커지고 있다.
29일 금융권에 따르면 최근 미래에셋자산운용과 대신증권, 빗썸 등에서 잇따라 침해사고가 확인됐다. 금융당국은 이들 사고 역시 인공지능(AI) 에이전트를 활용한 공격으로 파악하고 있다. 앞서 은행권에서 발생한 해킹과 유사한 수법으로, 당시 동시다발적으로 이뤄진 공격의 피해가 시간차를 두고 드러나고 있다는 설명이다.
대신증권에서는 고객 성명과 이메일, 아이디(ID), 암호화된 계좌번호 등 약 3만8000건의 개인정보가 유출됐다. 미래에셋자산운용에서도 외부 비정상 접근에 따른 침해사고가 확인됐으며, 가상자산 거래소 빗썸에서는 사내 모바일 그룹웨어 시스템에 외부 비인가자가 접근해 개인정보가 유출됐다. 지난 26일에는 미래에셋생명에서도 일부 웹 시스템에 대한 비정상적인 접근과 정보 유출이 확인됐다.
여기에 가상자산 거래소 프라뱅에서도 약 1억원 규모의 자산 피해가 발생했다. 최근 금융권에서 동시다발적으로 발생한 해킹 사고 가운데 실제 금전 피해가 확인된 첫 사례로 알려졌다.
프라뱅은 지난 24일 외부 비인가자의 접근으로 핫월렛에서 비정상적인 출금이 발생하자 비상대응체계를 가동했다. 이후 시스템 점검 과정에서 보안 취약점이 발견되자 거래소 서비스를 잠정 중단했다. 피해 자산은 회사 자금으로 전액 보전할 방침이다.
이번 사고는 금융당국이 지난 14일 프라뱅과 고팍스 운영사 스트리미에서 침해사고가 발생했다고 발표한 것과는 별개의 사건으로 알려졌다. 다만 앞선 AI 해킹과의 연관성은 확인되지 않았다.
그동안 금융권 해킹 피해가 주로 개인정보 유출에 집중됐다면 이번에는 실제 자산 탈취까지 발생했다는 점에서 우려가 커지고 있다. 특히 공격 대상이 금융권 전 업권으로 확대되고 있는 만큼 추가적인 금전 피해가 발생할 가능성도 배제하기 어렵다는 지적이다.
◆ 금융사 555곳 점검했지만 130곳서 미흡…서류 중심 감독 한계
앞서 신한·KB국민·하나·BNK부산은행을 비롯해 예가람·웰컴·OK·DB저축은행, 현대캐피탈과 산은캐피탈, 새마을금고중앙회 등에서도 침해사고가 확인됐다. 온라인투자연계금융업과 전자금융업 등으로도 피해가 확대됐다.
금융위원회와 금융감독원이 지난 14일 발표한 점검 결과 당시 침해사고가 확인된 금융회사는 16곳이었으며, 유출된 개인정보는 약 10만건에 달했다. 이후에도 새로운 사고가 잇따라 확인되면서 금융권 전반의 보안 취약성이 드러나고 있다.
문제는 금융당국이 이미 대규모 보안점검을 실시했음에도 추가 침해사고가 잇따라 확인되고 있다는 점이다.
금융당국은 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 보안 체크리스트를 점검했다. 그 결과 전체의 약 23.4%에 해당하는 130곳에서 일부 미흡사항이 발견됐다.
주요 문제점으로는 최신 보안패치 미적용과 노후 시스템 관리 미흡, 24시간 보안관제체계 미구축 등이 지적됐다. 금융회사 네 곳 중 한 곳꼴로 기본적인 보안관리에서 취약점이 드러난 셈이다.
전문가들은 이러한 점검 방식이 실제 해킹 대응 능력을 확인하는 데 한계가 있다고 지적한다. 금융회사가 자체적으로 제출한 점검 결과만으로는 외부 공격에 노출된 취약점을 충분히 파악하기 어렵다는 것이다.
황석진 동국대학교 국제정보보호대학원 교수는 <더팩트>와 통화에서 "금융권의 보안 문제를 서류상으로만 해결할 것이 아니라 실질적으로 현장에 나가 보안점검을 해야 한다"며 "모든 금융회사를 직접 점검하기 어렵다면 대표적인 금융회사 서너 곳만 표본으로 선정해 점검했더라도 어떤 부분이 취약한지 확인할 수 있었을 것"이라고 지적했다.
특히 이번 해킹이 핵심 금융거래 시스템이 아닌 상대적으로 보안이 취약한 외부 접점을 집중적으로 노렸다는 점에서 현장점검의 필요성이 더욱 크다는 설명이다.
황 교수는 "이번 공격은 핵심 거래 시스템을 직접 뚫은 것이 아니라 대출 모집인 사이트나 업무지원 사이트, 사내 인트라넷 등 우회 경로를 집중적으로 공격한 것"이라며 "이런 부분에 대해 직접 현장점검을 실시했다면 취약점을 찾아내는 데 훨씬 수월했을 것"이라고 설명했다.
이어 "서류상으로 보안 상태를 물어보면 대부분 문제가 없다고 답할 수밖에 없다"며 "실제로 해킹이 발생했을 때 얼마나 신속하게 탐지하고 차단할 수 있는지를 확인하는 것이 중요하다"고 강조했다.
◆ AI 해킹 고도화하는데 대응은 제자리…실질적 감독체계 전환 필요
금융당국은 잇따른 침해사고에 대응해 금융회사 보안체계 전반에 대한 전수점검을 추진하고 외부와 연결되는 전산시스템의 접점과 인증·접근통제 권한을 강화하기로 했다.
고객 수가 많고 외부 접점이 넓은 대형 금융회사부터 보안 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 최고경영자(CEO)와 최고정보보호책임자(CISO)의 보안관리 책임도 강화할 방침이다.
AI 기반 취약점 탐지 인프라와 중소형 금융회사 공동 보안관제시스템 구축도 추진한다.
다만 전문가들은 점검 횟수를 늘리는 것만으로는 고도화된 해킹 공격에 대응하기 어렵다고 지적한다. 공격 경로와 속도, 방식 등이 빠르게 변화하는 만큼 감독 기준 역시 실제 공격 대응 능력을 중심으로 바뀌어야 한다는 것이다.
황 교수는 "해킹을 완벽하게 막는 것은 현실적으로 불가능하다"며 "중요한 것은 해킹이 발생했을 때 얼마나 빨리 탐지하고 차단할 수 있는지, 피해 규모를 얼마나 신속하게 파악해 고객에게 통지할 수 있는지"라고 말했다.
이어 "지금은 공격 경로와 속도, 방식, 범위가 과거와는 많이 달라졌다"며 "이런 변화에 맞춰 금융당국의 감독 방식도 달라져야 한다"고 덧붙였다.
금융당국 역시 기존 보안체계의 한계를 인정하고 있다.
이억원 금융위원장은 지난 8일 국회 정무위원회 국정감사에서 금융권의 잇따른 AI 해킹 사고와 관련해 "우리의 대응방식이 아주 기본적인 부분도 굉장히 미흡하다"며 "이런 부분은 저희가 철저하게 더 점검하고 바꿔 나가야 할 것 같다"고 밝혔다.
이찬진 금융감독원장도 지난 28일 은행지주 이사회 의장 간담회에서 "AI가 해킹 수단으로 활용되면서 보안 취약점 탐지와 동시다발적 공격이 상시화될 수 있다"며 금융회사 이사회 차원의 보안 역량 강화를 주문했다.
그러나 금융당국의 잇따른 보안 강화 주문에도 침해사고가 계속 확인되면서 점검 실적보다 실제 보안 수준의 개선 여부를 중심으로 감독체계를 재정비해야 한다는 지적이 나온다.
황 교수는 "금융당국은 어떤 점검을 실시했다는 사실보다 실제 보안 취약점이 얼마나 개선됐고, 사이버 공격을 얼마나 효과적으로 차단할 수 있는지를 감독의 핵심 기준으로 삼아야 한다"고 강조했다.