금융권 침해사고 재발방지: 금융보안 관리체계 강화 방안 총정리

금융권 침해사고 현황 및 조사 경과

최근 신한은행 등 주요 금융회사를 중심으로 발생한 침해사고와 관련하여 금융위원회는 신속하고 엄중한 대응에 나섰습니다. 현재까지 은행, 저축은행, 상호금융, 여전업, 전금업, 온투업, 가상자산사업자 등 총 16개사에서 침해사고가 확인되었으며, 동일한 공격 주체에 의한 것인지 여부는 현재 정밀 조사가 진행 중에 있습니다.

현재까지 파악된 정보 유출 규모는 약 10만 건 수준으로, 주로 성명, 연락처, 주민등록번호, 이메일 등이 포함된 것으로 확인되었습니다. 다행히 계좌 비밀번호, 카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았습니다. 금융위원회와 금융감독원, 금융보안원은 사고 발생 금융회사들에 대해 즉각적인 공격 IP 차단, 보안 패치 적용, 관련 서비스 중단 등의 조치를 취하도록 하고 있으며, 개인정보 유출 사실 및 대응 요령 안내 등 소비자 보호 조치를 철저히 관리·감독하고 있습니다. 또한, 유관기관과의 긴밀한 협조를 통해 금융 외 부문으로의 피해 확산을 방지하고 공격자 검거 및 수사가 원활히 이루어질 수 있도록 만전을 기하고 있습니다.

전 금융권 보안 점검 결과 및 미흡 사항

지난 10월 8일까지 진행된 전 금융권 555개사 대상의 12개 항목 체크리스트 점검 결과, 425개사는 ‘적정’으로 평가되었으나, 130개사에서 일부 미흡 사항이 발견되었습니다. 미흡 사항은 대부분 보안 패치나 관제 체계 관련 1~2개 항목에서 나타났으며, 상대적으로 보안 역량이 약한 전금업 및 온투업 부문에서 비교적 많은 미흡 사항이 보고되었습니다.

주요 미흡 사항으로는 최신 보안 패치 미적용, 제조사 기술 지원 종료(EOS) 시스템 관리 미흡, 24시간 실시간 관제 체계 미구축, 공격 표면 관리 미흡(대외 시스템 대상 인증·인가 누락, 중요 서비스에 대한 다중 인증(MFA) 미도입 등) 등이 있었습니다. 미흡 사항이 발견된 금융회사들은 신속한 보안 패치 적용, 노후 장비 교체, 보안 관제 인력 및 설비 확충, 인증 범위 확대 및 접근 통제 강화 등 공격 표면 관리 강화 조치를 포함한 신속한 보완 조치 실행 계획을 보고하고 즉시 이행 중에 있습니다. 또한, 공격자로 확인된 IP는 즉시 차단 조치하였으며, 발견된 미흡 사항에 대해서도 긴급한 조치부터 신속히 시행하도록 지도·감독하고 있습니다.

금융 보안 관리체계 강화를 위한 정책 과제

이번 침해사고와 점검 과정에서 발견된 취약 요인을 구조적, 체계적으로 방지하기 위한 근본적인 제도 개선 과제들도 심도 있게 논의되었습니다.

1. 보안 체계 및 관리 시스템 전수 점검 추진

AI 해킹 위협 등 새로운 보안 위협에 금융권이 충분히 대비할 수 있도록, 공격 표면 관리, 인증 체계, 내부 통제 등 보안 관리 전반에 대한 촘촘한 전수 점검을 실시하고 대응 계획을 마련할 예정입니다. 전산 시스템이 외부와 연결되는 모든 접점을 목록화하고 현행화하며, 외부 접점의 인증 및 접근 통제 권한을 명확히 설정하고 엄격하게 관리할 것입니다. 또한, 외부 접점 관리 등 보안 체계 운영·관리와 CEO, CISO, CIO 등의 보고 체계 및 책임 범위도 명확히 하도록 지도·감독해 나갈 계획입니다. 구체적인 점검 범위와 일정은 금융권과 협의하여 신속히 확정·추진될 예정입니다.

2. 해킹 위협 조기 포착 및 공동 대응 체계 마련

현재 금융감독원·금융보안원이 파악한 해킹 위협 정보는 통합 관제 시스템(FIRST) 등을 통해 전 금융권에 신속히 전파되고 있지만, 금융회사가 자체 보안 관제 과정에서 파악한 정보는 공유되지 않는 상황입니다. AI 해킹 위협 대응의 핵심은 신속한 위협 상황 인지와 조속한 공동 대응이므로, 금융회사가 자체 파악한 위협 정보도 통합 관제 시스템 등을 통해 공유할 수 있도록 시스템을 개선하고, 금융회사가 침해 위협 정도를 직관적으로 확인·대응할 수 있는 AI 위협 수준 정보 체계도 조속히 마련할 계획입니다. 더불어, 공격자 관점에서 외부 노출 자산, 내부 소스코드, 모바일 앱 등의 취약점을 탐지할 수 있도록 AI 기반 취약점 점검 인프라 구축도 추진합니다.

3. 상시적이고 면밀한 보안 관리를 위한 제도 기반 마련

금융회사 및 전자금융업자는 현행법에 따라 연 1회(외부 홈페이지는 연 2회) 취약점 점검·평가를 의무화하고 있으나, 빠르게 진화하는 AI 보안 위협에 비추어 보다 치밀하고 정교한 점검이 필요하다는 지적이 제기되고 있습니다. 이에 따라 공격 표면이 넓고 고객 수가 많은 대형 금융회사의 경우, 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 중요한 외부 접점 등은 필수 점검 대상에 포함하는 방안을 추진합니다. 또한, 긴급한 필요가 있을 경우 수시 점검을 할 수 있는 근거를 마련하는 방안도 검토·추진할 예정입니다.

4. 중소형 금융회사 보안 관리 지원 강화

AI 보안 위협에 대해 충분한 대응 여력을 갖추기 어려운 중소형 금융회사 등에 대한 지원 방안도 조속히 검토·추진될 예정입니다. 금융보안원이 각 업권 협회·중앙회와 함께 AI 기반 공동 보안 관제 시스템 구축을 검토하고, AI 침해 위협 대비 공격 표면 점검(블랙박스 테스트), 중소형 금융회사 맞춤형 보안 안내서 마련 등 다양한 방안도 추진할 계획입니다. 또한, 대부업, 보험 GA 등 현행법상 관리 대상에서 제외되어 면밀한 관리가 어려웠던 부문에 대해서도 AI 보안 위협 대응 요령을 신속히 전파하는 등 보안 강화 방안을 검토·추진할 예정입니다.

CEO 책임 강화 및 제재 실효성 제고

이번 사고를 계기로 금융회사 CEO 및 이사회 등 최고 경영진의 책임성을 강화하고, 보안 점검 권고가 실제 현장에서 제대로 이행될 수 있도록 제재의 실효성을 높이기 위한 다양한 제도 개선 방안도 조속히 추진될 계획입니다. 신진창 금융위 사무처장은 “금융분야는 그 무엇보다 신뢰와 안전이 중요한 만큼, 보안사고 예방을 위한 철저한 보안 관리가 필수적”이라며, “이번 사고를 계기로 금융회사 외부 접점·인증 관리뿐 아니라 전 금융권의 보안 관제 체계, CEO·이사회 등 책임성 확보 등 보안 체계 전반에 대한 철저한 재점검과 근본적인 제도 개선이 이루어지도록 최선을 다할 것”이라고 강조했습니다. 또한, AI 보안 위협 확대에 대비해 ‘AI 공격은 AI로 방어’하는 보안 체계를 확립하기 위한 망 분리 규제 완화 등 제도 개선도 보다 면밀하고 속도감 있게 추진해 나가겠다고 밝혔습니다.

마무리

금융권의 침해사고는 단순히 금융회사의 문제를 넘어, 우리 모두의 소중한 자산과 정보에 대한 위협으로 이어질 수 있습니다. 이번 금융위원회의 금융보안 관리체계 강화 방안은 이러한 위협에 선제적으로 대응하고, 더욱 안전한 금융 환경을 조성하기 위한 중요한 발걸음입니다. 금융당국의 노력과 더불어, 금융소비자 스스로도 개인정보 보호에 대한 경각심을 갖고 2단계 인증(MFA) 사용, 의심스러운 링크 클릭 자제 등 기본적인 보안 수칙을 철저히 지키는 것이 중요합니다. 앞으로도 금융권의 꾸준한 보안 강화 노력과 함께, 소비자들이 안심하고 금융 서비스를 이용할 수 있기를 기대합니다.