신한은행 사고를 전후해 금융회사 16곳에서 10만건의 고객정보가 유출된 것으로 확인됐다. 은행을 비롯해 금융 전 업권에 걸쳐 해킹 공격이 있었던 것으로 파악됐다.
금융위원회는 14일 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원 등과 '제2차 긴급 상황대응 회의'를 개최했다고 밝혔다. 이번 회의는 지난 2일 사무처장 주재 회의에서 지시한 체크리스트 점검결과를 확인하고, 재발 방지를 위한 정책과제를 논의하기 위해 마련됐다.
신한은행 침해사고 전후로 사고가 확인된 금융회사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전 업권에 걸쳐 총 16개사다. 금융회사들이 공유된 IP 등을 바탕으로 침해 여부를 확인하고 있어 사고 금융회사 수는 더 늘어날 수 있다. 현재까지 확인된 정보유출 규모는 약 10만건(성명, 연락처, 주민등록번호, 이메일 등)이며, 계좌 비밀번호나 카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다. 금융당국은 사례별 연관성과 동일 주체 여부, AI 해킹 가능성 등을 정밀 조사 중이다.
지난 8일까지 진행한 전 금융권 555개사 대상 12개 항목 체크리스트 점검에서는 425개사가 '적정', 130개사가 미흡사항이 있다고 보고했다. 미흡사항은 대부분 보안패치·관제체계 관련 1~2건의 점검 항목에서 보완 필요성이 확인됐다. 보안역량이 상대적으로 약한 전금업·온투업에서 비교적 많이 나왔다. 최신 보안패치 미적용, 제조사 기술지원 종료(EOS) 시스템 관리 미흡, 24시간 관제체계 미구축, 중요 서비스 다중인증(MFA) 미도입 등 공격표면 관리 미흡이 주요 사례다. 해당 금융회사들은 보완조치에 착수했다.
금융당국은 제도개선 과제로 먼저 금융회사 보안체계·관리시스템 전수점검을 추진한다. 외부접점 목록화와 인증·접근통제 권한 관리, CEO·CISO·CIO의 보고체계와 책임범위 명확화 등을 점검한다.
금융권 해킹 위협을 조기에 포착하고 공동 대응하는 체계도 마련한다. 금융회사가 자체 파악한 해킹위협 정보를 통합관제시스템(FIRST) 등을 통해 공유하도록 하고, AI 위협수준 정보체계와 AI 기반 취약점 점검 인프라도 구축한다.
현재 연 1회(외부 홈페이지는 연 2회)인 금융회사, 전자금융업자 취약점 점검·평가는 공격표면과 고객수가 많은 대형 금융회사부터 연 2회 이상으로 늘린다. 중요한 외부접점은 필수 점검대상에 포함하고 긴급한 경우 수시점검할 수 있는 근거도 검토한다.
AI 보안 위협에 충분한 대응이 어려운 중소형 금융회사에는 AI 기반 공동 보안관제 시스템 구축, 블랙박스 테스트, 맞춤형 보안안내서 마련 등을 지원한다. 아울러, 대부업·보험GA 등 전자금융거래법 적용대상에서 빠져 있던 부문의 보안 강화방안도 조속히 추진한다.
신진창 사무처장은 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라며 "보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다하겠다"고 말했다. 아울러 "AI 보안위협 확대에 대비해 ‘AI공격은 AI로 방어’하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 덧붙였다.