코바 인사이트=신형탁 기자 | 은행부터 가상자산거래소까지 금융회사 약 580곳이 외부 접속 경로와 내부통제를 전부 점검받는다. 금융위원회는 5일 오전 9시 금융보안원 여의도 분원에서 ‘AI시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 이 같은 방안을 내놨다.
등록된 시스템의 외부접점 점검은 11월 30일까지, 등록되지 않은 시스템과 경영진 내부통제 점검은 12월 31일까지 끝낸다. 점검 결과를 바탕으로 2027년 1분기 중 ‘보안 내부통제 가이드라인’을 시행한다.
37개사 40건, 자금 탈취 10억원
배경은 잇따른 해킹이다. 금융위에 따르면 금융권 침해사고가 처음 확인된 9월 30일 이후 이달 3일까지 37개사에서 40건이 신고됐다.
업권별로는 전자금융업자가 10곳으로 가장 많았다. 금융투자 5곳, 저축은행 5곳, 은행 4곳, 온라인투자연계금융(온투업) 4곳, 보험 3곳, 가상자산사업자 3곳, 여신금융 2곳, 상호금융 1곳이다.
유출된 정보는 약 47만3000건이다. 임직원 정보, 고객 이름, 주민등록번호, 계좌번호 등이다. 계좌 비밀번호처럼 바로 부정결제로 이어질 수 있는 정보 유출은 아직 확인되지 않았다.
일부 소규모 가상자산거래소, 전자금융업자, 온투업자에서는 실제로 돈이 빠져나갔다. 신고된 규모는 약 10억원이다. 주로 가상자산 핫월렛, 포인트, 온투업 예치금처럼 회사가 고객 자금을 한데 모아 관리하는 계정에서 이체가 일어났다. 핫월렛은 인터넷에 연결된 상태로 운용하는 지갑이라 입출금이 빠른 대신 해킹에 노출되기 쉽다. 금융위는 개별 이용자의 손실은 아직 현실화되지 않았다고 설명했다.
취약점 점검 연 1회에서 2회로
제도도 바뀐다. 지금은 금융회사가 외부 기관으로부터 연 1회 이상 전산시스템 취약점 점검을 받는다. 앞으로는 대형 금융회사부터 연 2회로 늘린다.
전자금융거래와 직간접으로 연결된 모든 외부접점을 점검 대상에 넣는다. 그동안은 범위가 명시되지 않아 주변부 시스템이 빠지곤 했다. 금융당국이 필요할 때 수시로 점검을 요구할 근거도 만든다. 이 내용은 전자금융감독규정 개정안에 담아 11월 중 변경 예고한다.
중요한 취약점을 오래 방치하면 시정명령을 내리고, 따르지 않으면 이행강제금을 반복해 매기는 방안도 추진한다. 이미 발의된 전자금융거래법 개정안이 연내 국회를 통과해야 한다.
| 구분 | 일정 |
|---|---|
| 등록 시스템 외부접점 전수점검 | 11월 30일까지 |
| 미등록 시스템·내부통제 점검 | 12월 31일까지 |
| 가상자산업권 사고 신고 가이드라인 | 11월 중 |
| AI 피싱지수(0~100점) 시범 도입 | 11월부터 |
| 공동 관제시스템(FIRST) 고도화 | 12월 시범, 2027년 1분기 전면 |
| 보안 내부통제 가이드라인 | 2027년 1분기 |
*출처=금융위원회
가상자산거래소도 금감원에 즉시 신고
가상자산거래소는 전자금융거래법 적용을 받지 않는다. 그래서 지금은 해킹을 당하면 정보통신망법에 따라 한국인터넷진흥원(KISA)에만 신고한다.
금융위는 11월 중 가이드라인을 만들어 KISA와 함께 금융감독원, 금융보안원에도 바로 신고하도록 할 계획이다. 최근 해킹이 업권을 가리지 않고 번지는 만큼 감독당국이 상황을 실시간으로 알아야 한다는 판단이다.
대형 금융회사가 탐지한 공격 방식, 공격자 IP, 악성코드 정보를 통합관제시스템(FIRST)으로 전 금융권에 바로 퍼뜨리는 체계도 만든다. 지금은 금감원과 금보원이 직접 파악한 위협 정보만 공유된다.
2차 피해 막기와 망분리 해제
유출 정보가 보이스피싱으로 이어지는 것을 막는 장치도 나왔다. 다크웹과 텔레그램을 상시 감시해 금융권에서 빠져나간 정보가 거래되는지 추적한다.
금융권 공동 보이스피싱 분석 플랫폼 ASAP에는 AI ‘피싱지수’를 붙인다. 금융회사가 의심 거래를 조회하면 보이스피싱 연루 가능성을 0~100점으로 보여 준다. 자체 탐지 모델을 만들기 어려운 저축은행, 상호금융에 특히 도움이 될 것으로 금융위는 기대했다.
보이스피싱 피해금 일부를 금융회사가 과실이 없어도 배상하게 하는 법제화도 추진한다. 관련 통신사기피해환급법 개정안은 2026년 3월부터 국회 정무위원회에 계류돼 있다.
장기 과제는 망분리 규제 전면 해제다. 망분리는 내부 업무망을 인터넷과 물리적으로 떼어 놓는 규제다. 금융위는 “AI 공격은 AI로 방어”해야 한다며 TF를 꾸려 제로트러스트 같은 대체 보안수단과 경영진 책임 구조를 논의한다.
이억원 금융위원장은 “보안은 특정 부서의 기술적인 문제가 아니라, 최고경영자가 직접 책임져야 할 핵심 경영과제”라고 말했다.
정해진 것은 점검 일정이다. 이행강제금과 무과실 배상은 국회 문턱을 넘어야 한다. 이달 말 1차 점검이 끝난 뒤 추가로 드러나는 취약점 규모와, 그 이후에도 침해사고가 이어지는지가 다음 확인 지점이다.