당국 "금융사 침해사고 발생 총 16곳…약 10만건 유출"(종합)

금융위, 제2차 긴급상황대응 회의…"사고 금융사 추가 가능성"

보안체계·관리시스템 전수점검…CEO·CISO 책임 범위 명확화

[연합뉴스 자료사진]

(서울=연합뉴스) 배영경 강수련 기자 = 금융당국은 최근 인공지능(AI) 해킹 침해가 확인된 금융회사가 전체 업권을 통틀어 현재까지 총 16곳으로 파악됐다고 14일 밝혔다.

금융위원회·금융감독원은 이날 오후 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 AI 해킹 침해사고 점검 결과를 이같이 전했다.

당국에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전체 업권에 걸쳐 총 16개사로 파악됐다.

기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다.

DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했으며, 가상자산업권에서는 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다.

성명, 연락처, 주민등록번호, 이메일 주소 등 현재까지 확인된 금융사 정보 유출 규모는 약 10만건이다.

당국은 "현재도 금융사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해 발생 여부를 확인 중"이라며 "사고 발생 금융사 수는 이보다 더 확대될 수 있다"고 말했다.

다만 유출된 정보 중에 계좌 비밀번호·카드번호처럼 직접적으로 부정 결제에 활용될만한 우려가 있는 건은 확인되지 않았다고 밝혔다.

당국이 지난 8일까지 전 금융권 555개사를 대상으로 체크리스트를 점검한 결과, 130개사가 '미흡 사항'을 보고했다고 밝혔다. 특히 전금업·온투업에서 미흡 사항이 많이 발견됐다.

주요 미흡 사항은 ▲최신 보안패치 미적용 ▲제조사 기술지원 종료(EOS) 시스템 관리 미흡 ▲실시간(24시간) 관제 체계 미구축 ▲공격표면 관리 미흡 등이다. 공격 표면과 관련해서는 대외시스템 대상 인증·인가 누락, 중요 서비스에 강화된 인증 절차(MFA) 미도입이 지적됐다. 해당 금융회사는 보완 조치 실행계획을 보고하고 추가 조치 중이다.

당국은 점검 결과를 바탕으로 금융회사 보안 체계·관리시스템 전수점검을 추진한다.

우선 전산시스템이 외부와 연결되는 모든 접점을 목록화하고, 인증·접근통제 권한을 명확히 설정해 관리하도록 할 방침이다. 최고경영자(CEO), 정보보호최고책임자(CISO), 최고투자책임자(CIO) 등의 보고체계와 책임 범위도 명확히 하도록 한다.

금융회사 간 위협정보 공유도 활성화한다.

금융회사가 자체 파악한 위협정보도 통합관제시스템(FIRST)을 통해 공유할 수 있도록 시스템을 개선하고, 금융회사가 침해 위협 정도를 확인할 수 있는 인공지능(AI) 위협 수준 정보체계도 마련할 계획이다. AI 기반 취약점 점검 인프라도 구축한다.

아울러 대형 금융회사의 취약점 점검·평가 주기를 연 1회에서 연 2회 이상으로 확대하고, 중요한 외부접점은 필수 점검 대상에 포함한다. 필요시 수시 점검을 할 수 있는 근거도 마련할 계획이다.

중소형 금융회사의 경우 금융보안원이 'AI 기반 공동 보안관제 시스템 구축'을 검토하고, AI 침해위협에 대한 공격표면 점검, 맞춤형 보안 안내서 마련 등을 지원한다. 관리 사각지대인 대부업, 법인보험대리점(GA) 등에도 AI 보안 위협 대응 요령을 전파할 계획이다.

[촬영 김주형]

신진창 사무처장은 "그간 롯데카드 정보 유출, 미토스 쇼크 등으로 여러 차례 전수점검과 관리 강화를 주문했지만, 금융회사에서 기본적인 부분이 잘 지켜지지 않은 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

이어 "전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안 체계 전반을 철저히 재점검하고 근본적 제도개선이 이뤄지도록 하겠다"고 강조했다.

금융당국은 망 분리 규제 완화 등 제도개선도 신속히 추진할 방침이다.

ykbae@yna.co.kr