금융위원회는 14일 신진창 사무처장 주재로 제2차 긴급 상황대응 회의를 열고, 침해사고가 확인된 금융회사가 16곳으로 늘었다고 밝혔습니다. 이들 회사에서 개인정보 약 10만건이 유출된 것으로 파악됐습니다. 해킹 피해는 은행과 저축은행을 넘어 여신전문금융사, 온라인투자연계금융업체, 가상자산사업자, 새마을금고까지 전 업권에 걸쳐 나타났습니다. 금융당국은 연쇄 침해의 경로와 공격 방식을 조사하고 있습니다.

침해가 확인된 16곳은 은행 4곳, 저축은행 4곳, 여신전문금융회사 2곳, 온라인투자연계금융업체 2곳, 전자금융업자 1곳, 가상자산사업자 2곳, 새마을금고중앙회 1곳입니다. 은행은 신한·국민·부산·하나은행이며, 저축은행은 예가람·웰컴·DB·OK저축은행입니다. 여신전문금융회사는 현대캐피탈과 산은캐피탈이고, 가상자산사업자는 고팍스 운영사인 스트리미와 프라뱅입니다. 금융회사들은 공유된 공격자 IP를 바탕으로 추가 침해 여부를 점검하고 있어, 피해 회사 수는 더 늘어날 수 있습니다.

유출된 정보는 성명, 연락처, 주민등록번호, 이메일로 파악됐습니다. 계좌번호나 카드번호처럼 부정결제에 직접 쓰일 수 있는 정보의 유출은 확인되지 않았다고 금융위원회는 밝혔습니다. 금융감독원과 금융보안원은 현장 조사를 통해 사례별 연관성과 동일 공격 주체 여부를 확인하고 있습니다. 인공지능(AI)을 이용한 해킹 가능성도 함께 들여다보는 중입니다. 당국은 예가람저축은행과 웰컴저축은행에 대해서도 현장검사를 벌이고 있습니다.

점검에서 드러난 보안 미흡

금융당국은 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 체크리스트 점검을 진행했습니다. 그 결과 425곳은 적정으로 제출했고, 130곳은 미흡 사항을 보고했습니다. 미흡 판정을 받은 곳은 전체의 23.4%에 해당합니다. 대부분 보안패치와 관제 체계 관련 1~2개 항목에서 보완이 필요했습니다. 보안 역량이 상대적으로 약한 전자금융업과 온라인투자연계금융업에서 미흡 사항이 많았습니다.

주요 미흡 사항은 최신 보안패치 미적용, 기술 지원이 끝난 시스템의 관리 미흡, 24시간 보안관제 체계 미구축, 대외시스템의 인증·인가 누락 네 가지입니다. 해당 회사들은 보안패치 적용, 노후 장비 교체, 접근통제 강화를 포함한 보완 실행계획을 보고했습니다. 금융위원회는 이 조치들이 이미 시행되고 있다고 설명했습니다.

금융당국의 보안 강화 방안

금융위원회는 대형 금융회사부터 보안 취약점 점검과 평가 주기를 현행 연 1회에서 연 2회 이상으로 늘리기로 했습니다. 금융회사의 외부 접속 경로, 인증체계, 내부통제 등 보안 관리 전반에 대한 전수점검도 추진합니다. 금융회사별로 파악한 해킹 위협 정보는 금융권 전체에 공유하고, AI를 활용한 취약점 탐지 시스템도 구축할 계획입니다.

보안 인력이 부족한 중소형 금융회사를 위해서는 금융보안원과 업권별 협회가 공동으로 AI 보안관제 시스템을 구축하는 방안을 검토하고 있습니다. 아울러 최고경영자(CEO)와 이사회의 보안 관리 책임을 강화하고, 제재의 실효성을 높이는 제도 개선도 추진하기로 했습니다.