금융권 잇단 해킹에 당국 ‘외부접점’ 전수점검…“소홀하면 엄정 책임”

은행·보험·증권·저축은행·핀테크까지 보안체계 긴급 점검
대출모집인·임직원용 웹페이지 등 사각지대 겨냥…"AI 공격은 AI로 방어"

이억원 금융위원장이 지난달 28일 국회에서 열린 법제사법위원회 전체회의에 출석해 의원들의 질의에 답변하고 있다. /연합

금융당국이 최근 은행과 캐피탈 등에서 사이버 침해사고가 잇따르자 전 금융권을 대상으로 외부접점과 인증·접근통제 체계에 대한 긴급 점검에 나선다. 이미 공유된 공격수법을 제대로 점검하지 않아 유사 사고가 재발할 경우 관련 법령에 따라 책임을 묻겠다는 방침이다.

이억원 금융위원장은 4일 정부서울청사에서 열린 '전 금융권 긴급 점검회의'에서 "주요 시중은행뿐 아니라 저축은행, 캐피탈 등 여러 금융업권에서 침해사고가 단기간에 다수 발견되고 있는 만큼 금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점"이라고 밝혔다.

이날 회의에는 이찬진 금융감독원장과 박상원 금융보안원장을 비롯해 은행·금융투자·생명보험·손해보험·여신금융·저축은행 등 업권별 협회장과 주요 금융회사 7개사 최고경영자(CEO)가 참석했다.

금융당국이 주목한 것은 핵심 전산망 바깥의 '외부접점'이다. 최근 침해사고 과정에서 대출모집인이나 임직원이 사용하는 외부 웹페이지와 서버 등 상대적으로 관리가 취약했던 영역이 공격 경로로 활용된 사례가 확인됐기 때문이다.

이 위원장은 "아무리 견고한 보안체계를 갖추고 있더라도 관리되지 않는 하나의 빈틈이 전체 보안체계의 취약점이 될 수 있다는 점을 다시 한번 보여주고 있다"고 지적했다.

이에 금융위는 외부에 노출된 IT 자산과 서비스부터 인증·접근통제, 침해활동 탐지체계까지 보안체계 전반을 다시 점검하도록 했다. 지난 2일에는 긴급 상황대응 회의를 열어 파악된 공격 정보를 전 금융권에 공유하고 보안점검 체크리스트를 배포해 금융회사별 자체점검 결과를 제출하도록 했다.

특히 공유된 공격 IP와 공격수법이 각 회사의 탐지·차단체계에 반영됐는지와 필요한 보안패치가 적용됐는지를 반복해서 확인하도록 주문했다.

이 위원장은 "이미 공유된 공격정보와 사고사례가 있음에도 필요한 점검과 대응을 소홀히 해 유사한 사고가 발생하는 경우에는 관련 법령에 따라 엄정히 책임을 묻겠다"고 강조했다.

긴급 대응 기간에는 업무상 반드시 필요한 경우가 아니면 외부접근을 차단하는 것을 원칙으로 삼도록 했다. 외부접근이 불가피할 경우에도 접근권한과 조회할 수 있는 정보를 최소화하고, 개인신용정보 등 고객정보가 필요 이상으로 보관·조회되고 있지 않은지도 살펴보기로 했다.

현재까지 부정결제 등에 직접 사용될 수 있는 민감정보가 유출된 정황은 확인되지 않았다는 게 금융당국의 설명이다. 다만 유출 정보가 보이스피싱이나 스미싱 등에 악용될 가능성에 대비해 2차 피해 방지 조치도 강화하기로 했다.

개별 금융회사의 사고 정보를 업권 전체가 공유하는 공동대응 체계도 강조했다. 이 위원장은 "사이버보안에서는 한 회사의 사고가 곧 금융권 전체의 경고가 돼야 한다"며 "개별 금융회사의 침해사고를 해당 회사만의 문제로만 보지 않고 금융권 전체가 선제적으로 공동 탐지하고 차단할 수 있도록 보다 긴밀하게 협력해야 한다"고 말했다.

AI를 활용한 사이버 공격 가능성에도 대비한다. 이 위원장은 "확정적으로 말씀드리기는 어렵지만 AI를 활용한 해킹공격 가능성도 배제할 수 없다"며 "'AI 공격은 AI로 방어하는' 보안체계 마련도 서둘러야 한다"고 밝혔다.