5대 은행장 연말 임기 만료… 연쇄 해킹에 ‘보안 성적표’ 변수

연임 심사 앞두고 보안 역량 시험대
수백억 예산에도 비핵심 영역 뚫려
AI 활용 등 대응 역량 평가 가능성

올해 말 5대 은행(KB국민·신한·하나·우리·NH농협) 행장들의 임기가 일제히 종료되는 가운데, 최근 금융권을 강타한 연쇄 해킹 사태가 행장들의 연임 심사에 새로운 변수로 떠오르고 있다. 은행별로 수백억원의 정보보호 예산을 투입하고 각종 보안 시스템을 구축했지만 실제 공격에서는 대출모집인 시스템, 직원용 업무지원시스템, 영업지원시스템 등 상대적으로 비핵심 영역에서 개인정보가 유출되면서 최고경영자의 보안 관리 역량이 시험대에 올랐다는 평가다.

특히 금융당국이 최근 금융사 CEO 선임 과정에 압박을 가하면서, 이번 해킹 사태가 행장들의 임기 중 리스크 관리 성과를 검증하는 '보안 성적표'가 될 수 있다는 관측이 나온다. 단순히 정보보호 예산을 얼마나 늘렸는지를 넘어 CEO 재임 기간 어떤 보안 체계를 구축했고, 실제 공격 대상이 된 시스템까지 위험을 어떻게 관리했는지 등이 연말 행장 인선 과정에서 주요 평가 요소로 거론될 가능성이 커지고 있다.

6일 금융권에 따르면 5대 은행 중 금융권 전반의 해킹 공격으로 우리은행과 NH농협은행을 제외한 세 곳이 피해를 입었다. 이번 공격으로 신한은행은 대출모집인 전용 시스템을 통해 2만5727명의 정보가 유출됐고, KB국민은행에서는 직원용 모바일 업무지원시스템을 통해 153건의 피해가 발생했다. 하나은행에서도 영업지원시스템(ODS)에서 고객정보 89건이 유출됐다.

해킹 피해 사례가 발생하지 않은 우리은행의 경우 AI 중심의 보안체계가 효과적이었던 것으로 보인다. 지난해 생성형 AI 이용 보안대책 기준을 수립한 것은 물론, 지주 차원에서도 지난 8월 국내 금융그룹 최초로 AI 모의해킹 솔루션인 '진트(Xint)'를 도입했다. 우리은행은 진트와 자체 개발 점검 도구를 병행 활용해 취약점 점검을 실시했다고 설명했다. 농협은행의 경우 대출모집인이 대출 모집 건에 대한 진행 상황 등을 확인할 수 있는 내부 시스템에 접근할 수 있는 경로가 아예 없는 구조로 이뤄져 해킹 피해가 발생하지 않았다. 정보유출 위험에 대비해 접근권한 관리, 중요정보 암호화, 이상행위 모니터링 등 다중 보안체계도 운영 중이다.

김용대 카이스트 정보보호대학원 교수는 "마이크로소프트에서 매달 윈도우 업데이트를 할 때 기존에는 30~40개 내역의 취약점 패치가 이뤄졌지만, AI를 도입한 후 800~900개의 보안점 패치가 이뤄지고 있다"며 "국내에서도 사전에 AI를 활용한 보안체계 구축이 이뤄졌어야 한다"고 분석했다.

그렇다고 해킹 피해를 입은 은행들이 정보보호에 힘쓰지 않은 것은 아니다. 타 은행장들 역시 임기 기간 각자 정보보호 부문 사업에 주력한 부분이 있다. 해킹 피해가 가장 컸던 신한은행의 정상혁 행장은 임기 기간 외부 위협정보 및 정보유출 모니터링 서비스를 도입하고, AI 거버넌스 내재화 컨설팅, 전자금융 이상거래탐지시스템(FDS) 하드웨어 증설 등을 추진했다. 이환주 국민은행장은 제로트러스트 시범사업을 완료했고, 금융보안원과 침해사고 대응훈련을 진행했다. 이호성 하나은행장 역시 공격표면관리(ASM)를 통한 IT 자산 식별과 취약점 상시 점검, 화이트해커 상시 침투테스트, 제로트러스트 보안모델, API 침해대응 등을 추진하며 최신 보안기술에 투자를 집중했다.

다만 고객 뱅킹 등 핵심 시스템에만 집중했던 것은 다소 아쉬운 부분이다. 실제 이번 공격에서도 상대적으로 관심이 적었던 업무지원 시스템이나 부가 서비스 등이 공격 표적이 된 것이 특징이다.

아울러 정보보호 예산 역시 영향을 미친 것으로 분석된다. 국회 정무위원회 소속 김재섭 국민의힘 의원실이 금융감독원에서 제출받은 '최근 5년간 금융권 정보보호 예산 및 인력 현황'에 따르면 5대 은행 중 정보보호 예산이 가장 낮은 은행은 신한은행이다. 신한은행은 2026년 상반기 기준 정보보호 예산으로 405억9100만원을 편성하며 두 번째로 낮은 예산을 집행한 우리은행 615억6600만원보다도 209억7500만원의 차이를 보였다. KB국민은행이 860억7500만원으로 가장 많은 예산을 집행했고, NH농협은행이 801억3400만원, 하나은행이 636억3500만원으로 뒤를 이었다.

금융권에서는 올해 5대 은행장들의 임기가 일제히 모두 끝나는 가운데 이번 해킹 사태가 행장 평가의 주요 성적표가 될 수 있다는 관측이 나온다. 앞서 이찬진 금융감독원장은 지난 9월 23일 8개 금융지주(KB·신한·하나·우리·NH농협·BNK·iM·JB) 회장을 불러 자회사 CEO 선임에 공정성과 투명성을 강화하라고 당부한 바 있다. 기존 행장들은 2년 임기 후 1년 연임이 관행이었으나, 금융당국이 CEO 선임에 특정 계파나 친소 관계에 영향을 받지 않게 하라는 압박을 가한 것이다. 간담회 직후 5대 금융은 일제히 CEO 승계 절차에 착수했다.

올해 국정감사 역시 행장들의 연임 심사를 앞두고 변수로 작용할 전망이다. 당초 지난 1일 정무위가 의결한 금융 분야 국감 증인 명단에는 주요 은행장들이 포함되지 않았지만, 연쇄적인 해킹 및 개인정보 유출 사고가 발생하면서 정치권에서도 시중 은행장들을 국정감사에 출석시켜 개인정보 유출 사고의 원인과 책임을 묻겠다는 이야기가 나오고 있다.

최철 숙명여대 소비자경제학과 교수는 "금융사의 책임 소재를 명확히 하기 위한 책무구조도 등이 도입된 상황에서 정보보호 설비 등을 넘어 실질적인 수행 과정에서 최종 책임자인 행장들에게도 영향이 있을 것으로 보인다"고 말했다.