금융권 해킹 37곳에서 개인정보 47만 건·자금 10억 원 유출, 금융당국이 발표한 대책은? 🔎

지난 9월 30일부터 이달 3일까지 금융회사 37곳에서 40건의 침해 사고가 신고된 것으로 파악됐어요. 이 사고로 고객 개인정보 47만 3000건이 유출되고 약 10억 원의 자금도 탈취된 것으로 확인됐는데요. 금융당국은 금융회사 약 580곳을 전수 점검하고, 인공지능(AI)을 활용한 새로운 보안 체계를 도입하겠다고 밝혔어요.

금융사 해킹 사고가 그렇게 잦았다고?

5일 금융위원회(금융위)가 '전 금융권 보안체계 혁신방안'을 발표했는데요. 발표에 따르면 9월 30일 이후 한 달여 사이 은행 4곳, 증권 등 금융투자회사 5곳, 저축은행 5곳, 전자금융업체 10곳, 가상자산사업자 3곳 등 금융권 전반에서 해킹 사고가 잇따랐어요. 유출된 정보에는 고객 이름, 주민등록번호, 계좌번호 등이 포함됐고요. 일부 중소형 가상자산 거래소와 전자금융업체에서는 약 10억 원의 자금이 탈취됐는데요. 금융위는 "회사에서 고객 자금을 통합 관리하는 계정에서 자금이체가 발생한 것으로, 개별 이용자의 자금 손실은 아직 없는 것으로 보인다"고 밝혔어요.

왜 이렇게 해킹 사고가 자주 일어난 거야?

전문가들은 이번 해킹 사고에 인공지능(AI)이 활용됐을 것으로 보고 있어요. 다만 금융당국은 "사람의 개입 없이 AI가 독자적으로 공격한 것은 아니다"라고 판단했다고.

이번 금융사 해킹에는 중국의 AI 기반 침투 테스트 도구 아르텍스(ARTEX)가 쓰였다고 하는데요. 계획을 담당하는 AI 에이전트가 행동을 정하면, 실행 에이전트가 해킹을 시도한 뒤 결과를 분석하고, 다시 침입 계획을 세우는 방식으로 반복 공격이 이뤄진 것으로 드러났어요. 도구가 누구나 접근할 수 있는 오픈소스로 공개돼 있어 해킹의 진입장벽이 낮아졌다는 분석도 나와요.

해킹 공격은 주로 보안에 상대적으로 소홀했던 외부 프로그램을 노렸어요. 직원 관리나 내부 업무용 프로그램에 접속할 때 본인 확인 절차가 허술하거나, 다른 프로그램과 정보를 주고받는 통로인 응용 프로그램 인터페이스(API)가 주요 공격 대상이 됐어요

앞으로 어떻게 될까?

금융위가 발표한 대책을 살펴보면:

• 금융회사 보안 전부 점검하자 🔍: 금융회사 약 580곳의 보안 실태를 전수 점검해요. 홈페이지·모바일 앱은 물론 직원 관리, 내부 업무, 제휴업체 연결 프로그램 등 외부에서 접속 가능한 모든 시스템이 대상이에요. 관리 대장에 등재된 외부 접점은 이달 말까지, 미등재 시스템과 내부통제는 올해 말까지 조사를 마칠 계획이에요.
• 보안 위해서 망분리 규제 풀어주자 🔓: 2013년부터 시행된 망분리 규제를 단계적으로 전면 해제하는 방안을 추진해요. 금융사 망분리란 외부의 사이버 공격이나 해킹, 악성코드 유포 등으로 인해 내부 전산 자원과 고객 정보가 유출되는 것을 막기 위해, 내부 업무망과 외부 인터넷망을 엄격하게 차단·분리하는 보안 방식인데요. 보안 목적의 AI 프로그램 활용에는 이달 중 망분리 규제 예외를 상시 허용하기로 했어요.
• 해킹 정보 공유 강화하자 📡: 대형 금융회사가 발견한 해킹 수법, 공격자 IP, 악성코드 정보를 전체 금융권에 신속하게 전파하는 시스템을 구축해요. 12월 시범 운영을 거쳐 내년 1분기부터 본격 가동할 계획이에요.
• CEO 책임 강화하고 보상도 법으로 정하자 ⚖️: 보안 부실로 사고가 발생하면 최고경영자(CEO)에게도 책임을 묻기로 했어요. 금융회사에 직접적인 잘못이 없더라도 보이스피싱 피해액의 일정 부분을 보상하도록 하는 무과실 책임 법제화도 추진해요.