금융위원회는 신진창 사무처장 주재로 금융감독원과 금융보안원 등 관계기관가 공동으로 '제2차 긴급 상황대응 회의'를 진행했다. /임영무 기자

[더팩트ㅣ김정산 기자] 금융당국이 금융권 전산 보안의 취약점을 보완하기 위해 외부 접속 경로부터 내부 관리체계까지 대대적인 점검에 나선다. 최근 금융권을 중심으로 정보 유출 사태가 연달아 발생한 데 따른 조치다.

14일 금융위원회는 신진창 사무처장 주재로 금융감독원과 금융보안원 등 관계기간과 공동으로 '제2차 긴급 상황대응 회의'를 진행했다. 당국에 따르면 신한은행 사고 전후로 해킹 피해가 확인된 금융회사는 총 16곳으로 집계됐다.

현재까지 유출된 개인정보는 성명과 연락처, 주민등록번호, 이메일 등을 포함해 약 10만건으로 파악됐다. 다만 계좌번호나 카드번호 등 부정결제에 직접 악용될 수 있는 정보의 유출은 확인되지 않았다.

공격에 사용된 인터넷주소(IP)를 각 금융회사와 공유해 추가 피해 여부를 확인하고 있다. 조사 과정에서 사고 발생 회사가 더 늘어날 가능성도 열어두고 있다.

금융사 555개곳을 대상으로 진행한 보안 체크리스트 점검도 매듭지었다. 전체의 약 77%인 425곳은 점검 항목을 적정하게 갖췄다고 보고했지만, 나머지 130곳은 보완 상항이 남은 것으로 확인됐다. 주로 △최신 보안패치 미적용 △기술지원이 끝난 장비 관리 부실 △24시간 보안관제 미구축 등이 문제로 지적됐다.

외부에 노출된 시스템의 인증·접근권한 관리가 미흡하거나 다중인증 체계를 도입하지 않은 사례도 있었다. 금융당국은 해당 금융회사에 보안패치와 노후 장비 교체, 관제 인력 확충, 접근통제 강화 등을 주문했다.

점진적으론 상시 보안관리 체계를 구축하겠단 구상이다. 우선 금융회사가 보유한 전산시스템 가운데 외부와 연결되는 통로 명단을 만든다. 각 시스템의 인증 절차와 접근권한을 엄격하게 관리하기 위한 초석이다.

금융회사 간 위협정보 공유 체계도 바꾼다. 각 금융회사가 확인한 공격 징후를 통합관제시스템을 통해 전달하도록 개선하고, 취약점을 탐지하는 점검 인프라도 구축할 예정이다. 현재는 금융감독원과 금융보안원이 파악한 공격정보를 통합관제시스템 등을 통해 전파하고 있지만, 개별 금융회사가 자체 관제 과정에서 발견한 위협은 충분히 공유되지 않고 있다.

취약점 점검 주기는 연 2회 이상으로 늘린다. 현행 규정은 금융회사와 전자금융업자에게 연 1회, 외부 홈페이지는 연 2회 점검·평가를 요구한다. 우선 외부 접점이 넓고 이용자가 많은 대형 금융회사부터 적용할 계획이다. 긴급한 위협이 발생할 경우에는 수시 점검 체계를 갖추도록 제도적 근거도 검토한다.

보안 인력과 예산이 부족한 중소형 금융회사를 위한 지원책도 마련한다. 금융보안원과 업권별 협회·중앙회는 인공지능(AI) 기반 공동 보안관제 체계를 구축하는 방안을 검토하고, 각 사별 규모에 맞춘 보안 안내서와 공격자 관점의 취약점 점검도 추진한다.

신진창 금융위원회 사무처장은 "금융은 그 무엇보다 신뢰와 안전이 중요한 만큼, 보안사고 예방을 위한 철저한 보안관리가 필수적이다"라고 말했다.

이어 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도, 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분이다"라고 덧붙였다.

kimsam119@tf.co.kr

발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.

· 카카오톡: '더팩트제보' 검색

· 이메일: jebo@tf.co.kr

· 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write

· 네이버 메인 더팩트 구독하고 [특종보자→]

· 그곳이 알고싶냐? [영상보기→]