[비즈니스포스트] 금융권에서 잇따르고 있는 사이버 침해사고가 보험업권에서도 발생하면서 보험사들의 정보보호 체계에도 비상이 걸렸다.

특히 보험사는 개인신용정보뿐 아니라 고객의 건강상태와 질병 이력 등 민감정보를 다루는 만큼 사이버 침해사고에 따른 피해 우려가 클 수 있다는 지적이 나온다.

27일 보험업계에 따르면 금융감독원은 미래에셋생명 개인정보 침해사고와 관련해 긴급 현장점검에 착수했다. 점검 과정에서 위규 사항이 발견되면 정식 검사로 전환할 것으로 알려졌다.

미래에셋생명은 25일 일부 시스템의 이상증상을 확인하고 사이버 침해사고를 인지해 긴급 대응에 나섰다. 그 뒤 외부전문기관과 해당 사고를 상세 분석해 전날 침해에 따른 개인정보유출을 확인했다.

미래에셋생명은 전날 '침해사고에 따른 개인(신용)정보 유출 안내 및 사과문'을 올리고 홈페이지를 일시 폐쇄했다.

미래에셋생명은 안내문을 통해 “정확한 유출 대상 및 항목은 파악하는 중”이라며 “개인정보 유출 사실을 인지한 뒤 전사적 비상대응체계를 가동하고 공격 IP차단 및 고객정보 보호를 위한 보안 조치를 강화했다”고 말했다.

침해사고는 고객 청약시스템과 홈페이지 일부에서 발생한 것으로 파악된다. 해커가 시스템 내 약 41개 파일을 조회한 것으로 알려졌지만 실제 유출된 개인정보의 종류와 규모는 아직 확인되지 않았다.

최근 금융권에서는 은행 등 여러 업권에 걸쳐 개인정보 침해사고가 발생하고 있지만 보험업권에서 해킹에 따른 개인정보 유출이 확인돼 금융당국에 신고된 것은 미래에셋생명이 처음이다.

금융당국은 앞서 14일 기준 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 여러 금융업권에서 16개 회사의 해킹 등 침해사고를 파악했지만 당시 보험사는 포함되지 않았다.

다만 보험사도 보안 이슈에서 자유롭지는 않다는 평가를 받았다.

국회 정무위원회 소속 박민규 더불어민주당 의원이 금융감독원에서 받은 자료에 따르면 10월 들어 8일까지 금융회사 555곳이 12개 항목을 자체 점검한 결과 130곳(23.4%)에서 미흡 사항 모두 248건이 보고됐다.

이 가운데 보험업권에서는 점검 대상 45곳 가운데 7곳(15.6%)에서 미흡 사항을 보고했다. 금융권 전체 평균보다는 낮은 수준이지만 보험업권에서도 일부 보안 관리 미흡 사항이 확인된 셈이다.

여러 금융업 가운데 보험업권은 계약 체결부터 유지, 보험금 지급까지 고객의 다양한 개인정보를 장기간 관리하는 만큼 정보보호 중요성이 큰 업권으로 꼽힌다.

특히 개인신용정보뿐 아니라 질병 이력과 치료 내역 등 민감한 건강정보를 취급하는 만큼 개인정보 침해사고가 발생하면 사생활 침해 등으로 피해가 확대될 수도 있다. 

이번 사고에서 건강정보 등이 유출됐는지는 아직 확인되지 않았다. 하지만 개인정보 보호가 소비자 신뢰와 직결되는 만큼 이번 사고를 계기로 보험업계 전반의 정보보호 체계를 재점검해야 한다는 목소리가 나온다.

다만 보험업계가 이미 보안체계를 강화해 온 만큼 기존 보안 조치를 추가로 강화하는 것만으로는 한계가 있다는 의견도 있다.

한 보험업계 관계자는 비즈니스포스트에 “지난해 롯데카드, SK텔레콤 등에서 개인정보 유출이 화두에 오른 이후 보험업권뿐 아니라 전체 업권에 걸쳐 보안을 강화해 왔다”며 “그럼에도 사고가 지속해서 발생해 보안에 대한 고민이 깊다”고 말했다.
 

보험사들이 영업 현장부터 계약 관리, 보험금 지급 등 업무 전반에 인공지능(AI) 활용을 확대하고 있는 만큼 디지털 환경에 맞춘 새로운 보안체계가 필요하다는 지적이 나온다.

단순히 기존 보안 시스템을 강화하는 것뿐 아니라 해킹에 대비하는 화이트해커 양성 등이 대안으로 꼽힌다.

한 보험사 관계자는 비즈니스포스트와 통화에서 “개인정보 보호를 강화하는 것과 함께 정부와 당국 등이 업계와 함께 나서서 화이트해커를 양성하는 게 효과가 있을 수 있다”며 “AI 도입으로 해킹 수법이 빠르게 고도화하는 가운데 이에 대응할 방안 역시 AI에 있다고 본다”고 말했다.

금융당국도 14일 금융권 보안점검 결과를 공유하면서 해킹 위협 관제시스템 고도화와 중소형 금융사의 AI 해킹 위협 대응 지원 등을 추진하겠다고 밝혔다.

다만 이를 위해서는 망 분리 등 규제가 선행돼야 하는 부분도 있다. 현재는 망 분리 규제에 따라 금융회사들이 해킹 공격 방어체계를 구축하는 데 외부 AI를 활용할 수 없다.

이억원 금융위원장은 8일 국정감사에서 금융권 AI 해킹과 관련해 “AI 공격을 막으려면 결국 AI를 쓸 수밖에 없다”며 “망 분리 규제라는 부분을 어떻게 바꿔나갈지 여러 단계적이고 효과적인 방법을 살펴보고 있다”고 말했다. 김지영 기자