47만 건의 정보 유출과 10억 원 규모의 자금 탈취. 최근 한 달간 금융권을 덮친 인공지능(AI) 해킹 사고에 금융당국이 580여 개 금융기관을 수술대에 올렸다.
금융위원회가 5일 오전 금융보안원 여의도 분원에서 이억원 위원장 주재 ‘전 금융권 긴급 간담회’를 개최했다. 금융감독원과 금융보안원을 비롯 은행, 증권, 보험, 가상자산, 전자금융 등 전 업권 협회장들이 모여 잇따른 침해사고 대응 방안을 논의하는 자리였다. 국무조정실, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 방송미디어통신위원회, 경찰청, 한국인터넷진흥원 등 관계부처도 참석했다.
간담회는 AI를 악용한 고도화된 해킹이 금융권 전반을 위협하면서 긴급히 마련됐다. 당국 집계에 따르면 올해 9월 30일부터 11월 3일까지 약 한 달간 37개 금융사에서 40건의 침해사고가 접수됐다. 전통 금융권은 물론 가상자산, 전자금융 등 신종 업권까지 공격 대상이 됐다.
현재까지 확인된 개인정보 유출 규모만 약 47만 3000건으로, 주로 임직원 정보와 고객의 성명·주민등록번호·계좌번호 등이다. 일부 소규모 가상자산거래소와 전자금융업체 등에서는 약 10억 원 규모의 가상자산·예치금 탈취 피해도 보고됐다.
이에 금융당국은 △보안 허점 봉쇄 △2차 피해 방지 △AI 기반 신보안체계 구축을 골자로 하는 3대 대책 추진에 나섰다. 우선 은행과 증권, 보험, 가상자산 등 전 금융권 580여 개 기관의 IT 자산과 외부 접점, 내부통제 실태를 전수점검한다. 대고객 서비스뿐 아니라 내부 업무와 직원 관리, 제휴 시스템 등 외부 접근이 가능한 전 영역이 점검 대상이다.
핵심 취약점이 발견된 서비스는 즉시 중단되며, 관리대장 등재 시스템은 이달 30일까지 마무리 지을 예정이다. 미등재 시스템 및 내부통제 조사는 내달 말까지다.
보안 점검 체계도 점검대에 오른다. 대형 금융사를 중심으로 기존 연 1회이던 취약점 분석·평가 주기를 연 2회 이상으로 단축하고, 전자금융거래와 연관된 모든 외부 접점의 점검도 의무화한다. 당국이 필요 시 수시 평가를 요구할 수 있는 근거를 신설하고, 중대한 취약점을 방치할 경우 시정명령과 이행강제금을 부과하는 법 개정도 병행한다. 보안 인력과 예산이 부족한 중소형 금융사에는 금융보안원의 AI 기반 원스톱 방어 서비스를 지원한다.
2차 피해 방지망도 대폭 강화된다. 유출 정보가 보이스피싱이나 명의도용 등에 악용되는 것을 막기 위한 조치다. 금융당국은 텔레그램, 다크웹 등 불법 채널을 상시 감시해 유출 정보 거래 포착 시 해당 금융사에 즉각 통보하고 고객 통지와 예방 조치가 이뤄지도록 한다는 계획이다.
이와 함께 금융권 공동 보이스피싱 정보공유 플랫폼인 ‘ASAP’에 AI 분석 기능을 탑재, 의심 거래 위험도를 점수화한 ‘피싱지수’를 이달부터 시범 도입한다. 이상 거래 탐지와 계좌 지급정지 속도가 한층 빨라질 것으로 기대되는 부분이다. 피해자 보호 강화를 위해 보이스피싱 피해액 일부를 금융사가 배상하는 무과실 책임 법제화도 함께 추진된다.
핵심 변화는 성역으로 꼽히던 망분리 규제의 전면 개편이다. 금융위는 “AI 공격은 AI로 방어해야 한다”는 기치 아래 민관 합동 ‘망분리 규제 전면해제 TF’ 본격 가동에 들어간다. 물리적 망차단 방식의 한계를 넘어 데이터 중요도별 보호 체계와 제로트러스트 등 대체 보안 기술을 도입하는 방식이다.
보안 목적의 AI·클라우드 활용도 상시 제도화된다. 가상자산사업자와 제3자 IT 기업까지 규율하는 ‘디지털금융 안전법(가칭)’을 내년 1분기 중 제정해 금융보안의 틀을 전면 재편한다는 구상이다.
이억원 위원장은 “고객의 정보와 재산을 지키지 못하는 금융사는 존재 이유가 없다”며 “보안 위협에 맞서 인적·물적 투자를 아끼지 말아야 한다”고 강조했다. 전 금융권 경영진을 향해서도 “현 상황을 절체절명의 위기로 인식하고 비상대응반을 즉각 가동해 달라”고 당부했다.
후원하기



























