이억원 금융위원회 위원장이 10월 4일 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 발언하고 있다. [사진=연합뉴스]

[디지털데일리 김남규기자] 이억원 금융위원장이 은행에서 저축은행·캐피탈까지 번진 해킹 사태와 관련해 인공지능(AI)을 활용한 공격 가능성을 배제할 수 없다며 금융권에 ‘최고 수준의 경각심’을 주문했다. 이미 공유된 공격정보를 토대로 필요한 조치를 하지 않아 유사 사고가 발생할 경우 엄정하게 책임을 묻겠다는 방침도 밝혔다.

금융위원회와 금융감독원은 4일 오후 정부서울청사에서 이 위원장 주재로 ‘최근 침해위협 대응 전 금융권 긴급 점검회의’를 열었다. 이찬진 금융감독원장과 박상원 금융보안원장을 비롯해 전 금융업권 협회장과 침해사고가 발생한 금융회사 관계자들이 참석했다.

이 위원장은 “주요 시중은행뿐 아니라 저축은행, 캐피탈 등 여러 금융업권에서 침해사고가 단기간에 다수 발견되고 있다”며 “금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점”이라고 말했다.

이어 “AI를 활용한 해킹 공격의 가능성도 배제할 수 없다”며 “새로운 유형의 빈도 높은 사이버 공격이 앞으로도 이어질 수 있는 만큼 ‘AI 공격은 AI로 방어하는’ 보안체계 마련도 서둘러야 한다”고 강조했다.

◆핵심 금융망보다 ‘외곽’ 노렸다

금융당국은 이번 공격이 금융회사의 핵심 전산망보다 외부와 연결된 업무 시스템에 집중됐다는 점에 주목하고 있다.

대출모집인과 임직원 등이 업무 편의를 위해 사용하는 외부 웹페이지와 서버 등 상대적으로 관리가 소홀했던 영역이 공격 대상으로 활용된 사례가 확인됐다. 일부에서는 기본적인 인증 절차와 접근통제가 미흡하거나 업무상 필요한 범위를 넘어선 정보가 보관된 정황도 파악되고 있다.

이 위원장은 “아무리 견고한 보안체계를 갖추고 있더라도 관리되지 않는 하나의 빈틈이 전체 보안체계의 취약점이 될 수 있다”고 지적했다.

금융당국은 이에 따라 외부에 노출된 IT 자산과 서비스를 비롯해 인증·접근통제, 침해활동 탐지체계 등 보안체계 전반을 다시 점검하도록 했다. 임직원과 대출모집인, 위탁업체 등이 사용하는 외부 접점과 접근 경로도 집중 점검 대상이다.

소비자 서비스나 업무 수행에 반드시 필요한 경우가 아니라면 외부 접근을 차단하는 것을 원칙으로 하고, 불가피하게 외부 접속이 필요한 경우에도 접근 권한과 조회할 수 있는 정보를 최소화하도록 했다.

◆“공격정보 알고도 대응 소홀하면 엄정 책임”

금융당국은 이번 사태를 계기로 금융회사의 보안 책임도 한층 강화하기로 했다.

이 위원장은 “이미 공유된 공격정보와 사고사례가 있음에도 필요한 점검과 대응을 소홀히 해 유사한 사고가 발생한다면 관련 법령에 따라 엄정히 책임을 묻겠다”고 경고했다.

금융당국은 지난 1일까지 약 500개 금융회사에 공격 IP와 보안 유의사항을 전파했다. 2일에는 공격 IP 차단과 피해 여부 조사 등 12개 항목을 담은 점검표도 배포했다.

은행과 카드사는 6일까지, 증권·보험·저축은행·전자금융업자는 8일까지 긴급점검 이행 여부를 확인해야 한다.

특히 이미 공유된 공격 IP와 공격 수법이 실제 탐지·차단 체계에 반영됐는지, 필요한 보안패치가 이뤄졌는지가 주요 점검 대상이다. 공격 방식이 금융권에 공유된 이후에도 필요한 조치를 하지 않아 같은 유형의 피해가 발생할 경우 금융회사의 책임이 한층 무거워질 수 있다는 의미다.

◆신한·국민·하나 등 7곳 정보 유출

현재까지 정보 유출이 확인된 금융회사는 신한·KB국민·하나·BNK부산은행과 현대캐피탈, 예가람·웰컴저축은행 등 7곳이다.

신한은행에서는 약 2만5000명의 고객정보가 유출됐다. KB국민은행에서는 고객과 직원 등 119명, 하나은행에서는 고객 89명의 개인정보 유출이 확인됐다. BNK부산은행에서는 외주 개발직원 11명의 정보가 빠져나갔다.

제2금융권에서도 피해가 이어졌다. 예가람저축은행에서는 약 4만명의 이름과 생년월일, 연락처 등이 유출됐다. 웰컴저축은행에서도 법인고객 정보 유출이 확인됐고, 현대캐피탈에서는 주택대출 모집인 146명의 개인정보가 유출됐다.

다만 금융당국은 현재까지 부정결제 등에 직접 활용될 수 있는 민감한 정보가 유출된 정황은 확인되지 않았다고 밝혔다.

직접적인 금전 피해도 현재까지 확인되지 않았다. 다만 유출된 개인정보를 이용한 보이스피싱이나 스미싱 등 2차 피해 가능성이 있는 만큼 이상금융거래 탐지를 강화하고 추가 피해가 발생할 경우 소비자 구제와 보상에 신속히 나서도록 했다.

◆금융당국, ‘AI에는 AI’ 보안체계 전환

금융당국은 이번 사태를 계기로 AI를 활용한 보안체계 구축에도 속도를 낼 방침이다.

최근 공격이 여러 금융회사를 상대로 동시다발적으로 이뤄진 데다 공격자가 IP 주소를 바꿔가며 지속적으로 침투를 시도한 정황이 나타나면서 기존 방식만으로는 새로운 형태의 공격을 방어하는 데 한계가 있다는 판단에서다.

이 위원장은 “정부는 AI 보안체계 전환을 위해 망분리 규제 긴급 완화 시행과 전면 해제 검토 등 근본적인 제도 개선을 추진하고 있다”며 금융회사에도 AI 보안테스트 참여와 보안체계 전환을 주문했다.

금융당국도 금융보안원과 함께 침해활동을 상시 모니터링하고 새로운 공격 징후가 포착되면 관련 정보를 금융권에 신속하게 공유하기로 했다. 과학기술정보통신부와 개인정보보호위원회, 경찰청 등 관계부처와의 공조도 강화한다.

금융당국은 당초 연휴 기간 금융회사별 자체 점검을 진행한 뒤 7일부터 결과를 보고받을 계획이었다. 그러나 시중은행에 이어 저축은행과 캐피탈 등 제2금융권에서도 잇따라 정보 유출이 확인되면서 긴급 점검회의를 이날로 앞당겼다.

이 위원장은 “금융회사 간 업무와 서비스가 상호 연계돼 있고 유사한 시스템과 외부 접점을 활용하는 경우가 많다”며 “금융권 전체가 원팀으로 공동 대응해야 한다”고 강조했다.