AI 핵심 요약
beta- 금융권이 4일 잇따른 해킹으로 자체 점검의 한계를 드러냈다
- 금감원 점검에서 금융사 130곳이 일부 보안 미흡 판정을 받았다
- 외부망 실시간 탐지와 자동 차단 의무화 등 제도 개선이 요구됐다
!AI가 자동 생성한 요약으로 정확하지 않을 수 있어요.
외부망 취약성 노출…실시간 이상징후 탐지·자동 차단 필요
규모·위험도 따라 차등 적용…보안 패러다임 바꿔야
은행을 시작으로 증권사와 카드사 뿐 아니라 저축은행 등 제2금융권까지 해킹 피해가 속출하고 있다. 난공불락으로 여겨졌던 금융사 보안 체계는 외부 공격과 내부 관리 부실 앞에서 허점을 드러냈고 사고를 사전에 탐지하거나 피해를 신속히 차단하는 대응 역량도 도마 위에 올랐다. 뉴스핌은 총 4편의 기획을 통해 업권별 사고 원인과 보안 실태를 규명하고 인공지능(AI) 기반 보안체계 구축과 망분리 규제 개선 및 실질적인 제도 개선 방안 등을 모색한다.
[서울=뉴스핌] 정광연 기자 = 금융권 해킹 사고가 잇따르면서 금융사의 자체 체크리스트에 의존하는 기존 보안 체계가 한계를 드러내고 있다. 외부망을 통한 침해사고까지 확산하는 만큼 금융사의 규모와 위험도에 따라 실시간 이상징후 탐지와 자동 차단 시스템을 의무화하는 등 보안 체계를 근본적으로 전환해야 한다는 목소리가 높다.
4일 금융권에 따르면 이번 해킹으로 개인정보 유출 피해가 발생한 신한은행과 KB국민은행, 하나은행 등은 지난 9월 실시한 보안 점검에서 별다른 문제가 없다는 내용의 체크리스트를 당국에 보고했다. 국민은행과 하나은행은 12개 항목 모두 '적정'으로, 신한은행은 1개 항목만 '미흡'으로 자체 평가했다.
해킹이 금융권 전반을 뒤덮은 이달 초 금융감독원은 금융회사 555곳에 보안 점검을 지시했으며, 그 결과 전체의 23.4%에 해당하는 130곳에서 일부 미흡 사항이 발견됐다.
하지만 자체 점검에서 모든 항목에 '적정' 답변을 제출했던 대신증권에서 3만8000명의 개인정보가 유출되는 등 '체크리스트 보안'은 사실상 무의미하다는 지적이 이어지고 있다.
업권에서도 금융사의 자체적인 점검에만 의존하는 현 시스템은 한계에 직면했다는 평가다. 특히 AI를 활용한 산발적이고 고도화된 해킹이 앞으로도 잇따를 수 있다는 점에서 문서화된 보안이 아닌 실시간 대응 시스템이 필수적이라는 목소리가 높다.
금융사 관계자는 "이번 해킹이 발생하지 않았다면 자체 체크리스트 중심의 보안 관행이 상당 기간 이어졌을 것"이라며 "문제가 생겼을 때 당국이 기업의 책임을 묻는 근거로는 의미가 있지만, 보안 자체로는 요식행위라는 지적도 있었다. 자연스러운 전환이 필요한 시점"이라고 밝혔다.
이번 해킹이 금융사들이 철통 보안을 자랑해 온 메인 서버 등 내부망이 아닌 대출모집인 전용 서비스, 직원용 업무지원 시스템, 영업지원 시스템 등 외부망에 집중됐다는 점에서 이용자가 적은 외부망에도 실시간 대응 시스템을 의무적으로 적용해야 한다는 목소리도 높다.
통상 내부망은 2~3중 인증을 거쳐야 접속할 수 있고, 업무용 파일이나 정보 역시 내부에서만 잠금이 해제되거나 외부로 유출될 경우 자동으로 잠기는 디지털권한관리(DRM)가 작동하기 때문에 2차 피해를 사실상 차단할 수 있다.
반면 외부망은 상대적으로 보안 접속 체계가 미흡하고, 파일 역시 DRM을 적용하기보다 첨부파일 형태로 주고받는 경우가 많다. 이 때문에 무료 AI를 활용한 해킹만으로도 큰 피해가 발생할 수 있다는 지적이다. 실제 외부망에서는 고객정보가 텍스트나 이미지 파일 형태로 오가는 경우가 많았던 것으로 전해졌다.
보안 전문가들은 한발 더 나아가 금융회사의 규모와 처리 정보, 외부 시스템과의 연결성, 사고 발생 시 파급력 등을 반영해 상시 탐지·대응 의무를 설계해야 한다고 주장한다.
지금처럼 모든 금융사에 동일한 기술이나 장비를 일률적으로 요구하기보다는 위험도가 높은 시스템에 실시간 이상징후 분석과 로그 수집·보존, 경보 대응 절차를 갖추도록 하고, 중소형 금융사에는 공동 관제나 전문기관 지원을 제공하는 방식이다.
AI 보안기업 에버스핀의 하영빈 대표는 "이번 해킹은 외부망을 통해 언제든지 내부 시스템에 접근할 수 있다는 점에서 대단히 위험한 상황으로 인식하고 대책을 마련해야 한다"며 "이미 기존에도 비슷한 봇 공격이 많았음에도 미리 대처하지 못한 책임이 크다"고 지적했다.
이어 "동일한 공격이 반복적으로 감지되면 자동으로 차단하는 솔루션만 탑재됐어도 상당 부분의 공격을 막을 수 있다는 점에서 시스템 관리 부실을 지적하지 않을 수 없다"며 "근본적인 대책 마련이 필요하다"고 강조했다.
외부 보안 전문기업을 통한 정기적인 금융사 보안 점검도 검토해야 한다는 주장도 나온다. 필요에 따른 비정기적인 보안 컨설팅에 그치지 않고 외부 전문가의 점검을 의무화하고, 위반 시 제재하는 방안이다.
다만 이 경우 내부 보안 시스템이 외부로 유출되는 계기가 될 수 있고, 금융사의 독자적인 시스템 운영이나 보안 관련 경영권이 침해되는 결과로 이어질 수 있다는 지적도 있는 만큼 신중한 접근이 필요해 보인다.
해킹 피해를 입은 시중은행 관계자는 "다양한 분야에서 지적하고 있는 부분들을 최대한 반영해 시스템 고도화를 추진 중"이라며 "안전한 보안 체계를 구축하기 위해 최선을 다하겠다"고 밝혔다.
peterbreak22@newspim.com
