[비즈니스포스트] 정부가 금융권 연쇄 해킹 사태를 계기로 금융보안 체계를 ‘사후 수습’에서 ‘사전 탐지와 선제 차단’ 중심으로 전환한다.  

금융당국은 이미 올해 상반기부터 인공지능(AI)을 활용한 자동화 공격 가능성을 경고하고 관련 방어체계 구축과 자체점검을 추진해왔다. 그럼에도 실제 사고가 이어지고 있는 만큼 상시 보안체계가 얼마나 효과를 발휘할지 시험대에 오를 것으로 보인다. 
 

이 대통령은 6일 오전 청와대에서 열린 국무회의에서 최근 발생한 금융기관 해킹 사건과 관련해 “일부 해킹의 경우 AI 활용 정황이 드러나면서 국민의 우려와 불안이 매우 크다”며 “사고가 발생한 뒤에 사후 수습하는 방식으로는 날로 진화하는 사이버 위협에 대응하기 어렵다. 공격을 사전에 탐지하고 차단하는 보안 역량을 갖춰야 한다”고 말했다.

그는 이어 “사회의 보안 패러다임을 인공지능 시대에 맞게 전면적으로 혁신할 때”라며 “사이버 보안에 특화된 AI 기술의 개발과 보급에도 좀 더 속도를 내주시면 좋겠다”고 말했다. 이 대통령은 민간뿐 아니라 국가 핵심시스템 전반의 보안체계를 조속히 점검하고 필요한 보안조치를 즉각 시행하라고도 주문했다. 

이번 사태는 신한은행이 지난달 말 개인정보 침해사고를 확인한 뒤 10월1일 약 2만5천 명 규모의 고객정보 유출 사실이 알려지면서 불거졌다. 

이후 시중은행뿐 아니라 저축은행과 캐피털 등 제2금융권에서도 침해사고가 잇따라 확인되면서 금융당국이 7개 금융회사 해킹 사고 조사에 들어갔다.

이번 공격은 인터넷·모바일뱅킹 같은 핵심 거래망보다 대출모집인과 임직원이 이용하는 외부 웹페이지 및 업무지원 시스템 등 상대적으로 보안 관리가 취약할 수 있는 외부 접점을 파고든 것으로 파악됐다. 

여러 금융회사에서 유사한 공격 정황이 확인되면서 AI를 활용해 다수 금융회사를 자동으로 공격했을 가능성도 제기됐지만 실제 AI 활용 여부와 공격 주체는 추가 조사가 필요한 상태다. 

문제는 금융당국이 이런 유형의 위험을 이번 사고 뒤 처음 인식한 것이 아니라는 점이다.

금융위원회는 지난 5월 고성능 AI가 해킹에 이용될 경우 전산시스템의 취약점을 빠르게 탐색해 공격에 활용할 수 있다고 보고 보안 목적 AI 활용을 위한 망분리 규제 완화와 금융AI보안연구소 신설 등을 추진하기로 했다. 금융회사의 IT자산 관리체계를 보완하고 AI를 활용한 공동 방어역량을 높이는 방안도 함께 제시됐다. 

이어 금융위는 7월에는 ‘프런티어 AI 보안위협 금융분야 대응요령’을 마련해 금융회사에 배포하며 대응방안을 한 단계 구체화했다. 

여기에는 취약점 관리와 AI 기반 방어 자동화, 금융권 공동대응과 침해 확산 방지, 다중인증과 최소권한 등 제로트러스트 기반 접근통제까지 이번 사고 뒤 다시 강조되는 내용이 상당 부분 담겼다. AI 보안테스트와 긴급 보안패치 과정에서 일정 요건의 장애가 발생해도 신속한 복구와 소비자 보호가 이뤄지면 제재를 면책해 금융회사들의 적극적 대응을 유도하는 장치도 포함됐다. 

다만 당시 대응요령은 금융회사의 행동지침과 모범사례 성격이 강했고 이를 따르지 않았다는 이유만으로 제재를 받는 구조는 아니었다. 

금융감독원도 지난 7월부터 금융회사들이 IT 기본통제 준수 여부를 스스로 확인하고 미흡한 부분을 보완하도록 하는 ‘자율시정’을 전 금융권에서 진행해왔다. 

지난달 9일에는 금융권 전체 정보보호최고책임자(CISO)를 불러 AI를 해킹에 악용하면 취약점을 빠르게 찾을 뿐 아니라 여러 금융회사를 대상으로 자동화된 대량공격도 가능하다고 경고했다.  IT자산 식별·관리와 보안패치 등 기본통제를 강화하고 대응이 미흡한 금융회사에는 밀착감시와 현장점검 및 경영진 면담을 실시하겠다는 방침도 내놨다. 

그러나 이런 사전 경고와 자율점검이 진행되는 상황에서 실제 금융회사 외부 시스템의 취약점이 공격 통로로 드러난 만큼 기존 정책이 현장 보안수준 개선으로 충분히 이어졌는지 다시 점검할 필요가 커졌다.

금융당국도 사고가 현실화한 뒤에는 기존 정책방향을 유지하면서 실행과 감독의 강도를 높이는 쪽으로 대응수위를 끌어올리고 있다.
 

금융위는 2일 긴급 상황대응회의를 열어 외부에 노출된 IT자산과 서비스를 빠짐없이 파악하고 보안취약점과 접근통제 현황을 전면 점검하도록 했다. 인증 없이 내부정보에 접근할 수 있는 경로를 찾아 차단하고 공격 IP와 수법 등 위협정보를 금융권 전체가 공유하도록 하는 조치도 함께 시행했다. 

4일에는 업무에 반드시 필요하지 않은 외부접근을 원칙적으로 차단하고 불가피한 경우에도 접근권한과 조회정보를 최소화하도록 요구했다. 이미 공유된 공격정보와 사고사례를 제대로 반영하지 않아 유사 사고가 발생하면 관련 법령에 따라 엄정하게 책임을 묻겠다는 방침도 밝혔다. 

금감원과 금융보안원이 새로운 공격징후를 모니터링해 관련 정보를 즉시 전파하고 추가 피해를 선제적으로 차단하는 한편 ‘AI 공격은 AI로 방어하는’ 체계와 제로트러스트 기반 보안체계를 구축하는 방향도 제시했다. 

이처럼 금융당국도 사고 뒤 선제차단과 AI 기반 방어로 대응 강도를 높이고 있는 상황에서 이 대통령이 직접 사전 탐지와 선제 차단을 주문하면서 금융보안 체계 전환에 정책적 동력이 더욱 실리게 됐다.

이와 별도로 금융당국의 기존 대응이 실제 사고예방에 얼마나 효과적으로 작동했는지는 올해 국정감사에서도 주요 쟁점으로 떠오를 것으로 보인다. 

국회 정무위원회에서는 금융회사들의 보안관리 책임뿐 아니라 금융당국이 AI 자동공격 가능성을 사전에 경고하고도 금융사의 취약점 개선을 충분히 끌어냈는지를 놓고 검증이 이뤄질 가능성이 있다. 

정무위 여당 간사인 박상혁 더불어민주당 의원은 지난 2일 자신의 페이스북에서 “반복되는 은행 개인정보 유출과 관련해 이번 국정감사에 5대 시중은행장들을 증인으로 출석시켜 원인과 책임을 엄중히 묻겠다”며 “국민의 재산과 신용정보를 맡은 대표적인 규제 산업인 은행에서 고객 정보 유출이 반복되는 상황을 더는 지켜볼 수만은 없다. 금융당국의 관리·감독이 제대로 이뤄졌는지도 철저히 따져 묻겠다”고 말했다. 권석천 기자