은행을 시작으로 증권사와 카드사 뿐 아니라 저축은행 등 제2금융권까지 해킹 피해가 속출하고 있다. 난공불락으로 여겨졌던 금융사 보안 체계는 외부 공격과 내부 관리 부실 앞에서 허점을 드러냈고 사고를 사전에 탐지하거나 피해를 신속히 차단하는 대응 역량도 도마 위에 올랐다. 뉴스핌은 총 4편의 기획을 통해 업권별 사고 원인과 보안 실태를 규명하고 인공지능(AI) 기반 보안체계 구축과 망분리 규제 개선 및 실질적인 제도 개선 방안 등을 모색한다.

[서울=뉴스핌] 박가연·이정아 기자 = 금융권에서 해킹 사고가 잇따르면서 형식적인 보안점검과 사후 제재 중심의 대응체계를 개선해야 한다는 목소리가 커지고 있다.

해킹 공격에 대응할 수 있는 보안체계를 구축하는 동시에 금융회사의 책임을 강화하고, 소비자가 피해를 신속하게 보상받을 수 있도록 제도적 장치를 마련해야 한다는 지적이다.

4일 금융투자업계에 따르면 최근 신한은행과 KB국민은행, 하나은행 등에서 개인정보 유출 사고가 발생한 데 이어 보험사와 증권사, 자산운용사, 가상자산 거래소까지 침해사고가 확산하고 있다.

◆ 금융권 침해사고 10만건 개인정보 유출…실전 점검·다층 방어 강화해야

금융위원회가 지난달 14일 발표한 자료에 따르면 당시 침해사고가 확인된 금융회사는 16곳, 개인정보 유출 규모는 약 10만건에 달했다. 이후에도 추가 사고가 확인되면서 보안체계의 실효성을 검증할 필요성도 커지고 있다.

황석진 동국대 국제정보보호대학원 교수는 "금융회사가 제출한 점검 결과만으로는 실제 보안 수준을 판단하기 어렵다"며 "현장 표본점검을 통해 보안조치가 제대로 이뤄지고 있는지 직접 확인하는 실전형 점검이 필요하다"고 말했다.

보안업계에서는 정기 점검만으로 실제 공격에 대한 탐지·대응 능력을 확인하기 어렵다고 보고 있다. 특히 인공지능(AI)을 활용한 공격은 정상 계정이나 서비스 기능을 악용할 수 있어 개별 접속 기록만으로 공격 여부를 판단하기 어렵다는 설명이다.

외부 침입 이후 내부 시스템으로 공격이 확산하는 것을 막는 접근통제도 과제다.

염흥열 순천향대 정보보호학과 교수는 "금융권 업무지원망의 보안체계가 핵심망보다 많이 떨어져 보안 사각지대가 있었다"며 "업무지원망의 보안관리 수준을 핵심망에 버금가게 높여야 한다"고 말했다.

대안으로는 내부망 접속 이후에도 인증과 권한을 반복적으로 확인하는 제로트러스트(Zero Trust) 보안체계가 제시된다.

염 교수는 "인터넷 접점이 뚫렸더라도 내부에서 강한 인증 및 접근통제 정책을 통해 다시 한번 접근이 타당한지를 확인하는 다층방어 체계를 구축할 필요성이 있다"며 "제로트러스트 기반의 보안구조로 현재 네트워크 구조를 변경할 필요성이 있다"고 강조했다.

◆ 과징금 높여도 예방은 별개…처벌 중심 규제 한계

금융회사의 보안관리 책임을 강화하기 위한 법적 장치도 확대되고 있다. 지난 9월 11일 시행된 개정 개인정보 보호법은 고의·중과실로 3년 이내 위반행위를 반복하거나 1000만명 이상 대규모 피해가 발생하는 등 일정 요건에 해당하면 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.

유동수 더불어민주당 의원이 발의한 전자금융거래법 개정안에도 중대한 침해사고 발생 시 총매출액의 3% 이내에서 과징금을 부과하고 대표이사를 전자금융거래 안전성 확보의 최종 책임자로 명시하는 내용이 담겼다. 법안은 국회 심사 중이다.

다만 제재 강화만으로 해킹 대응 능력이 개선되기는 어렵다는 지적이다. 사고 이후 책임을 묻는 데 그치지 않고 취약점을 사전에 발견하고 보완하는 역량을 갖춰야 한다는 것이다.

박춘식 아주대 사이버보안학과 교수는 "정부가 기업의 보안 역량을 높일 수 있도록 지원하지 않은 채 사고 이후 과징금을 부과하고 책임을 추궁하는 것은 규제 중심의 접근"이라며 "과징금과 처벌만으로는 실제 해킹 공격을 예방할 역량을 갖추기 어렵다"고 말했다.

이어 "공격자들은 AI 에이전트로 금융회사가 미처 파악하지 못한 보안 취약점을 발견해 공격에 이용한다"며 "금융회사는 취약점의 존재조차 모르는 상태에서 공격받을 수 있다는 점이 가장 큰 문제"라고 설명했다.

이에 금융회사와 소프트웨어 개발사, 보안업체가 취약점 정보를 신속히 공유하고 보완하는 체계가 필요하다는 제언이 나온다. 보안업체의 패치 제공과 금융회사의 적시 적용 등 사전 예방에 초점을 맞춰야 한다는 것이다.

◆ 금융사별 보상 제각각…공동기금·입증 부담 완화 과제

해킹 사고 이후 소비자 피해구제도 과제로 남아 있다. 일부 금융회사는 보험이나 명의보호 서비스 등을 제공하는 반면, 금전적 배상은 피해 발생과 인과관계 확인을 전제로 한다.

문제는 금융회사가 피해 보상을 약속하더라도 소비자가 실제 배상을 받기까지는 별도의 입증 절차가 필요하다는 점이다. 유출된 개인정보가 여러 경로로 유통될 수 있어 보이스피싱 등 2차 피해가 특정 금융회사의 사고에서 비롯됐다는 사실을 증명하기 어렵기 때문이다.

황 교수는 "금융회사가 전액 배상을 약속해도 고객이 사고와 손실 사이의 인과관계를 입증하기는 어렵다"며 "금융권 협회 차원에서 공동 피해구제기금을 조성하거나 보이스피싱 보험을 고객에게 무료로 제공하는 방안을 검토할 필요가 있다"고 말했다.

현행 개인정보 보호법은 일정 요건에 따라 법정손해배상이나 징벌적 손해배상을 청구할 수 있도록 하고 있다. 다만 정보 유출만으로 보상금이 자동 지급되는 것은 아니며 실제 손해에 대한 배상과 정보 유출 자체에 대한 법적 구제는 요건도 다르다.

유출 정보의 민감도와 악용 가능성을 고려하면서도 소비자가 구제받을 수 있는 절차를 구체화할 필요가 있다는 지적이다.

박홍배 더불어민주당 의원은 "잇따른 금융권 해킹 사고에도 현행 제재와 손해배상 체계가 금융회사의 책임을 충분히 담보하고 있는지 의문"이라며 "보안 관리 책임을 강화하고 소비자의 피해 입증 부담을 완화해 신속한 구제와 보상이 이뤄지도록 제도를 개선해야 한다"고 강조했다.

eoyn2@newspim.com