취약점 개선·초기 대응체계 강화 관건
[더팩트ㅣ이선영 기자] 금융권을 덮친 인공지능(AI) 해킹 사태로 국정감사에 출석한 5대 시중은행장이 일제히 보안 강화를 약속하면서 후속 대책 마련에 속도가 붙고 있다. 은행들은 정보보호 예산과 전문인력을 확충하고 AI 기반 보안체계를 구축하는 등 대응 수위를 높이고 있다. 다만 그동안 편성된 정보보호 예산조차 제대로 집행하지 못했다는 지적이 나온 만큼 투자 확대가 실제 보안 역량 강화로 이어질 수 있을지가 관건이다.
21일 금융권에 따르면 KB국민·신한·하나·우리·NH농협은행 등 5대 은행은 최근 해킹 사고를 계기로 보안시스템 고도화와 취약점 점검, 전문인력 확충 등을 추진하고 있다.
앞서 지난 19일 국회 정무위원회의 금융감독원 국정감사에는 이환주 KB국민은행장과 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장이 증인으로 출석했다. 이들은 고객정보 유출 등 금융권 해킹 사태와 관련해 사과하고 재발 방지를 위한 보안 투자 확대를 약속했다.
이번 해킹 사태에서는 신한은행과 KB국민은행, 하나은행에서 고객정보 유출이 확인됐다. 우리은행과 농협은행도 공격 시도가 포착됐지만 현재까지 고객정보 유출 피해는 확인되지 않았다.
특히 대출모집인 전용 서비스와 직원용 업무지원시스템 등 외부 접점에서 공격이 발생하면서 핵심 금융거래망뿐 아니라 외부와 연결된 업무시스템 전반의 보안 관리 필요성이 부각됐다.
◆ KB 1000억원 투자·우리 20% 증액 검토…은행별 보안 강화 속도
은행권은 우선 예산과 전문인력을 늘리는 동시에 AI를 활용한 공격 탐지 및 대응체계 구축에 집중하고 있다.
KB국민은행은 내년도 정보보호 예산을 1000억원 이상으로 확대 편성할 계획이다. 올해 편성액인 약 861억원보다 16% 이상 늘어나는 규모다. 그룹 차원의 정보보호 관리체계를 재정립하고 보안 투자와 인력도 지속적으로 확대할 방침이다.
AI 공격에 대응하기 위한 신규 보안사업도 추진 중이다. 국민은행 관계자는 "AI 위협 대응을 위한 약 51억원 규모의 신규 보안사업을 연내 완료할 목표로 진행하고 있다"며 "내부 화이트해커를 통해 다양한 AI 공격에 대한 능동방어기술의 성능과 실효성을 검증하고 있다"고 설명했다.
신한은행은 이번 개인정보 유출 사고를 계기로 외부 접점 시스템에 대한 보안관리를 강화하고 있다. 자체 보안 진단 솔루션을 활용한 점검과 외부 전문기관의 검증을 병행하는 한편, 외부 노출 자산 관리와 보안 취약점 조치 이행관리, 보안패치 관리 절차 등을 개선하고 있다.
단말기와 네트워크 영역의 위협 탐지·대응체계 고도화와 AI 기술을 활용한 보안관제 강화도 검토 중이다. 정보보호 예산을 업계 최고 수준으로 확대하고 전문인력도 확충할 계획이지만 구체적인 투자 규모와 인력 확대 계획은 아직 확정되지 않았다.
하나은행은 단말기와 서버 해킹에 실시간으로 대응하는 시스템을 구축하고 있다. AI 기반 사이버보안 플랫폼과 보안패치 자동화, AI 자동 모의해킹 플랫폼 구축도 추진 중이다.
올해 4분기부터 내년 1분기까지는 내부 이상행위 탐지·분석체계를 개선하고 네트워크 위협 탐지·대응체계(NDR), 디지털포렌식 대응체계, 외부 공격 경로 탐지체계 등을 구축할 계획이다. 내년 상반기에는 양자내성암호 기반 보안체계 시범 적용과 제로트러스트 보안체계 확대도 추진한다.
우리은행도 보안 투자 확대를 검토하고 있다. 내년도 보안시스템 구축 예산을 올해보다 20% 이상 증액하고 전문인력도 현재보다 10% 이상 확충하는 방안이다. 현재는 금융당국과 지속적으로 소통하면서 공유받은 공격 인터넷주소(IP)를 점검하고 차단하는 등 추가 침입을 막기 위한 조치를 시행하고 있다.
NH농협은행은 보안 전문인력 확보에 집중하고 있다. 지난달부터 오픈소스 취약점 분석과 보안 아키텍처 설계, 화이트해커, 데이터분석보안 등 분야의 전문인력 채용을 진행하고 있다. 연말 정기인사와 조직개편 과정에서도 정보보호 인력을 추가 확충할 계획이지만 구체적인 규모는 정해지지 않았다.
보안시스템 고도화 일정도 제시했다. 농협은행은 올해 말 서버 이상행위 탐지·대응 시스템(EDR)을 도입하고 내년 상반기 침투테스트 시스템과 고성능 AI를 활용한 보안관제 고도화를 추진한다. 내년 하반기에는 자체 AI 레드티밍 시스템을 구축해 상시 보안 점검체계를 마련할 방침이다.
사고 대응 조직도 운영하고 있다. 농협은행은 공격·방어·분석 기능을 갖춘 '침해대응국'을 두고 있으며, 사고 발생 시 관련 부서가 참여하는 비상대응반을 즉시 가동할 수 있도록 했다. 현재도 비상대응반에 준하는 대응체계를 운영하고 있다는 설명이다.
◆ 정보보호 예산 집행률 69%…경영진 책임도 도마
은행들이 잇달아 보안 투자 확대 계획을 내놓고 있지만 실제 집행 실적을 둘러싼 의문은 여전하다.
국회 정무위원회 소속 이양수 국민의힘 의원이 금융감독원으로부터 제출받은 자료에 따르면 지난해 5대 시중은행과 인터넷전문은행 3곳의 정보보호 예산은 총 3978억원으로 집계됐다. 하지만 실제 집행액은 2744억원으로 집행률은 69.0%에 그쳤다.
집행률은 2023년 74.5%에서 2024년 70.8%, 지난해 69.0%로 하락했다. 은행별로는 우리은행이 53.8%, KB국민은행 58.1%, NH농협은행 63.9%, 신한은행 69.9%에 머물렀다. 반면 하나은행은 편성한 예산을 전액 집행했다.
금융권에서는 보안시스템 구축에 장기간이 소요되거나 일부 사업의 집행 시점이 이월되는 경우가 있다는 설명도 나온다. 다만 해킹 위협이 고도화하는 상황에서 예산 편성뿐 아니라 계획된 사업을 적기에 완료하는 것이 중요하다는 지적이다.
보안 취약점 개선이 지연된 점도 해결해야 할 과제다. 박상혁 더불어민주당 의원이 공개한 자료에 따르면 최근 5년간 20개 은행의 모의해킹에서 발견된 취약점 4777건 가운데 109건은 아직 개선되지 않은 것으로 나타났다.
사고 초기 대응체계의 허점도 드러났다. 지난 19일 국감에서 김재섭 국민의힘 의원이 공개한 자료에 따르면 해킹 발생부터 사고 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. 보안시스템 확대와 함께 공격 징후를 조기에 파악하고 신속하게 대응하는 체계를 구축해야 한다는 지적이 나오는 이유다.
금융당국도 경영진의 내부통제 책임을 강조하고 있다. 이찬진 금감원장은 지난 19일 국감에서 이번 금융권 해킹 사태가 사이버보안 사고와 관련해 최고경영자(CEO)의 내부통제 관리 책임을 다루는 첫 사례가 될 수 있다고 밝혔다.
금감원은 금융회사의 보안 취약점 점검을 강화하고 AI 기반 방어체계 구축 등 자체 보안 역량 확충을 유도할 방침이다.
이에 따라 은행권의 보안 강화 대책은 단순히 투자 규모를 늘리는 데 그치지 않고 취약 시스템 개선과 사고 탐지·보고체계 정비로 이어져야 할 것으로 보인다. 특히 국감에서 약속한 보안 예산과 전문인력 확충 계획을 얼마나 신속하게 이행하고, 실제 사고 대응 능력을 높일 수 있을지가 은행권의 새로운 과제로 떠올랐다.
금융권 관계자는 "AI를 활용한 사이버 공격이 갈수록 정교해지면서 기존 보안시스템만으로 대응하기에는 한계가 있다"며 "AI 기반 탐지 기술 도입과 전문인력 확충은 물론 외부 연계 시스템까지 촘촘하게 관리하는 체계가 필요하다"고 말했다.
seonyeong@tf.co.kr
- 발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.
- · 카카오톡: '더팩트제보' 검색
- · 이메일: jebo@tf.co.kr
- · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write
- · 네이버 메인 더팩트 구독하고 [특종보자→]
- · 그곳이 알고싶냐? [영상보기→]