금융위 ‘보안체계 혁신’ 간담회

정보유출 47만 건·10억 탈취도
은행 외 가상자산·온투업도 피해
개별 이용자 자금손실 아직 없어

금융당국, 580개 업체 전수 점검
이억원 “보안 부실 CEO 책임 물어”
공동 해킹 관제시스템 등 고도화

최근 금융권 해킹 사태로 37개사에서 47만건이 넘는 정보가 유출된 것으로 확인됐다. 탈취된 자금규모도 10억원에 달했다. 금융당국은 전 금융권의 보안취약점을 전수점검하는 한편, 중대한 관리 부실이나 안이한 대응을 한 금융사의 경영진에게는 엄정한 책임을 묻겠다고 경고했다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원과 가상자산·전자금융·온라인투자연계금융업(온투업)을 포함한 전 금융권 협회장, 관계부처와 함께 인공지능(AI) 시대 보안체계 혁신을 위한 전 금융권 간담회를 개최했다.

이억원 금융위원장이 5일 서울 금융보안원 여의도 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 발언하고 있다. 연합뉴스

금융위에 따르면 금융권 침해사고가 확인된 지난 9월30일 이후 이달 3일까지 총 37개사에서 40건의 침해사고가 신고됐다. 은행·보험·증권 등 전통 금융업권뿐 아니라 가상자산업, 전자금융업, 온투업 등 전 업권에서 침해사고가 발생했다. 지난달 14일 금융권 체크리스트 점검이 완료된 이후에는 주로 중소규모 증권·보험사나 전자금융업, 온투업, 가상자산거래소 등에서 침해사고가 보고되고 있다. 업종별로는 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 상호금융 1개사, 여신 2개사, 온투업 4개사, 전자금융업 10개사, 가상자산 3개사 등이다.

유출 규모는 약 47만3000건으로 파악됐다. 주로 임직원 정보나 고객 성명, 주민등록번호, 계좌번호 등 금융사 영업과정에서 수집한 정보들이다. 다만 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았다고 금융위는 설명했다.

일부 소규모 가상자산거래소·전자금융업자·온투업권에서 자금이 탈취되는 사고도 발생했다. 규모는 약 10억원 수준으로 신고됐다. 주로 가상자산 핫월렛, 소비성 포인트, 온투업 예치금 등 고객자금을 통합 관리하는 계정 등에서 자금이체가 발생한 것으로, 개별 이용자의 자금손실은 아직 현실화되지 않은 것으로 파악됐다.

금융당국은 보안취약점 점검과 제도개선에 착수하기로 했다.

우선 전통 금융업뿐만 아니라 전금업, 온투업과 전자금융거래법 적용 대상이 아닌 가상자산업권까지 포함해 580여개사를 전수점검한다. 최고경영자(CEO), 정보보호최고책임자(CISO), 최고투자책임자(CIO) 역할·책임, 외부접점 관리에서 의사결정 절차 등 내부통제 운영실태도 확인한다. 각 금융사가 자체점검을 하되, 점검이 부실하다고 판단되거나 중대한 취약점이 발견되면 당국이 현장점검을 한다. 관리대장에 등재된 시스템은 이달 30일, 미등재 시스템과 내부통제체계 전수조사는 연말까지 완료한다.

이 위원장은 “보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다”며 “중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다”고 경고했다.

가상자산 거래소 빗썸이 사내 시스템 해킹 사고로 고객 개인정보가 유출됐다고 10월 29일 밝혔다. 사진은 30일 서울 서초구 빗썸라운지 연합뉴스

금융권 공동 해킹 관제시스템도 고도화한다. 개별 금융사가 파악한 정보를 신속히 전 업권에 전파하는 시스템을 구축해 다음 달 중 시범 운영을 거쳐 내년 1분기 전면 활용한다.

가상자산거래소가 한국인터넷진흥원(KISA)뿐만 아니라 금감원 등에 유출 사실을 즉시 신고하는 가이드라인을 이달 중 마련한다. 대형 금융사의 취약점 분석·평가 점검은 기존 연 1회에서 2회로 늘리고, 모든 외부접점을 평가 대상에 포함하도록 한다.

2차 피해 방지를 위해 다크웹 등에서 개인정보 유통을 차단하고, 금융권 공동 보이스피싱 정보공유·분석 플랫폼 ‘ASAP’의 기능을 강화한다. AI 기반 ‘의심 거래 판단지수’는 이달부터 시범 도입한다.

‘망분리규제 전면해제 태스크포스(TF)’를 가동해 금융권이 AI를 활용해 보안 수준을 높일 수 있도록 방안을 만든다. 전 금융권에 전산보안 규율 확립을 위한 ‘디지털금융 안전법’도 내년 1분기 중 마련한다.

구윤모 기자 [e-mail]