[더팩트ㅣ박지웅 기자] 국내 금융권에서 해킹 사고가 동시다발적으로 발생하면서 증권업계의 보안 불감증이 도마 위에 올랐다. 증권사와 자산운용사는 물론 가상자산 거래소까지 잇따라 사이버 공격에 뚫린 가운데 증권사들은 인공지능(AI)을 활용한 투자정보 분석과 자동매매 서비스 경쟁에 속도를 내고 있기 때문이다. 정작 고객의 개인정보와 금융자산을 보호하기 위한 보안체계 구축에는 소홀했던 것 아니냐는 비판이 나온다.
30일 금융투자업계에 따르면 최근 대신증권과 미래에셋자산운용, 가상자산 거래소 빗썸 등에서 잇따라 해킹 사고가 발생했다. 앞서 은행과 보험업권에서 발생했던 사이버 공격이 금융투자업계까지 확산하면서 금융권 전반의 보안체계에 대한 우려가 커지고 있다.
대신증권은 지난 17일 외부 투자자문·일임사 앱과 연결된 비대면 계좌개설 연계 서버에서 비정상적인 접근을 포착했다. 이후 조사 과정에서 고객 3만8490명의 개인정보가 유출된 사실이 확인됐다. 유출된 정보에는 고객 이름과 이메일, 주소, 은행명, 계좌번호, 휴대전화번호 등이 포함됐다.
미래에셋자산운용에서도 일부 업무용 웹 시스템이 외부 공격을 받아 내부 자료가 열람된 정황이 확인됐다. 빗썸 역시 지난 27일 사내 모바일 그룹웨어 시스템이 해킹당하면서 고객과 임직원 등 844명의 개인정보가 노출됐다.
이들 사고의 공통점은 핵심 거래 시스템보다 상대적으로 보안 관리가 취약할 수 있는 외부 연계 서버와 업무지원 시스템이 공격받았다는 점이다. 금융회사들이 핵심 거래망 보호에 집중하는 사이 외부 시스템과 연결된 이른바 '보안 사각지대'가 공격 통로로 악용된 셈이다.
◆ 해킹 피해 속출하는데…AI 투자·자동매매 경쟁 가속
문제는 증권사들의 AI 서비스 경쟁이 치열해진 가운데 보안 취약점이 잇따라 드러나고 있다는 것이다. 이에 AI 서비스 경쟁에만 치중한 것이 아니냐는 비판도 나온다.
최근 증권업계는 AI를 활용한 종목 분석과 투자정보 제공을 넘어 실제 주식 주문과 자동매매까지 지원하는 서비스로 사업 영역을 확대하고 있다.
대표적으로 메리츠증권은 지난 26일 AI와 연계해 국내외 주식 시세와 보유자산을 조회하고 매매 주문까지 요청할 수 있는 'OPEN API' 서비스를 정식 출시했다.
이 서비스는 AI가 증권사의 계좌정보와 주문 기능을 활용할 수 있도록 외부 프로그램을 연결하는 방식이다. AI의 도움을 받아 개인별 투자전략을 반영한 자동매매 프로그램을 개발하는 것도 가능하다.
이 같은 서비스는 투자 편의성을 높일 수 있지만 보안 측면에서는 새로운 위험 요인으로 작용할 수 있다. 외부 시스템과 연결되는 API가 늘어날수록 해커가 공격할 수 있는 경로도 확대되기 때문이다.
특히 AI 에이전트에 실제 주문 실행 권한까지 부여되는 환경에서는 인증정보 탈취나 외부 시스템 침해가 비정상적인 매매로 이어질 가능성도 배제할 수 없다. 개인정보 유출을 넘어 투자자의 금융자산에 직접적인 피해가 발생할 수 있다는 의미다.
황석진 동국대 국제정보보호대학원 교수는 "최근 증권사들이 MTS에 AI와 외부 서비스를 적극 결합하면서 이용자 편의성은 상당히 높아졌지만, 그만큼 보안 위험도 복잡해지고 있다"며 "핵심 시스템뿐 아니라 외부 연계 시스템의 취약점도 공격 경로가 될 수 있다"고 지적했다.
◆ 보안 인력 IT 인력의 9.78%…금감원 감독 책임론도
증권업계의 보안 대응 역량이 디지털 기술 발전 속도를 따라가지 못하고 있다는 지적도 나온다.
올해 상반기 기준 국내 10대 증권사의 정보보호 인력은 총 131명으로 전체 IT 인력 1340명의 9.78%에 불과했다. 회사당 평균 정보보호 인력은 약 13명 수준이다.
정보보호 투자 규모에서도 증권사별 격차가 확인됐다. 한국인터넷진흥원(KISA)의 정보보호 공시에 따르면 지난해 정보보호 투자액은 한국투자증권이 188억원으로 가장 많았다. 이어 신한투자증권 171억원, NH투자증권 124억원, KB증권 122억원, 하나증권 100억원, 대신증권 56억원 순이었다.
전산 안정성 문제도 여전하다. 이양수 국민의힘 의원이 금융감독원으로부터 제출받은 자료에 따르면 2022년 1월부터 올해 3월까지 주요 증권사 12곳에서 발생한 모바일트레이딩시스템(MTS) 장애는 총 190건에 달했다.
카카오페이증권과 토스증권이 각각 42건으로 전체의 44.2%를 차지했다. 특히 카카오페이증권은 2022년부터 2025년까지 4년 연속 장애 건수가 증가했다.
전산사고에 따른 투자자 피해도 적지 않다. 2024년부터 올해 8월까지 자기자본 3조원 이상 종합금융투자사업자 10곳에서 발생한 전산사고는 총 113건으로, 피해 고객 1만9055명에게 지급된 배상금만 69억8941만원에 달했다.
다만 전산장애와 외부 해킹은 발생 원인이 다르며, IT 투자액이나 장애 건수만으로 개별 증권사의 보안 수준을 단정하기는 어렵다.
금융당국의 감독 실효성에도 의문이 제기된다. 금감원은 지난 7일 주요 증권사 21곳의 감사를 대상으로 간담회를 열고 IT 보안체계 전면 재점검을 주문했다. 그러나 불과 20여일 만에 증권사와 자산운용사 등에서 해킹 피해가 잇따라 확인되면서 사전 예방과 감독체계를 강화해야 한다는 목소리가 커지고 있다.
특히 최근 금융권에서는 AI를 활용한 취약점 탐색과 공격 자동화 가능성까지 제기되고 있다. 금융보안원은 지난달 금융권을 겨냥한 AI 에이전트 기반 공격 시도가 확인됐다고 밝힌 바 있다. 다만 이번 해킹 사고에 AI가 실제 활용됐는지는 확인되지 않았다.
금융권 안팎에서는 AI 서비스 고도화에 앞서 외부 연계 시스템과 협력업체에 대한 보안 관리부터 강화해야 한다는 지적이 나온다. 금융당국 역시 사고 발생 이후 현장점검을 반복하는 방식에서 벗어나 선제적인 취약점 점검과 실시간 위협 탐지체계를 구축해야 한다는 목소리가 높다.
황 교수는 "증권사는 전산장애 예방을 넘어 계좌 탈취와 부정거래, 개인정보 유출 등에 대비한 실시간 탐지 및 신속한 차단 체계를 갖춰야 한다"며 "대형 증권사뿐 아니라 중소형 증권사도 언제든 보안 취약점에 노출될 수 있는 만큼 금융당국이 증권업계의 보안 실태를 더욱 강도 높게 점검해야 한다"고 강조했다.