금융위원회와 금융감독원은 14일 오후 정부서울청사에서 제2차 긴급상황대응 회의를 열고, 인공지능(AI) 해킹 침해가 확인된 금융회사가 전체 업권을 통틀어 16곳으로 파악됐다고 발표했습니다. 이들 금융사에서는 성명, 연락처, 주민등록번호, 이메일 주소 등 개인정보 약 10만건이 유출된 것으로 확인됐습니다. 신한은행 침해사고 전후로 사고가 확인된 금융사를 업권별로 살펴본 결과입니다.

업권별로 보면 은행권에서는 신한, KB국민, 하나, BNK부산은행 4곳이 포함됐습니다. 저축은행은 예가람, 웰컴, DB, OK저축은행이며, 여신전문금융사는 현대캐피탈과 산은캐피탈입니다. 기존에 알려진 사고 외에 5곳이 추가로 보고됐고, 이 밖에 새마을금고중앙회와 피에프씨테크놀로지스(PFCT), 모우다가 명단에 올랐습니다. 가상자산사업자 가운데서는 고팍스 운영사인 스트리미와 프라뱅에서도 침해가 확인됐습니다.

신한은행 사고 이후 확인된 사고 경위

금융당국은 이달 4일 신한, KB국민, 하나, BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 해킹 사고에서 동일한 공격자가 AI 도구를 활용한 정황이 발견됐다고 밝혔습니다. 이후 추가로 보고된 곳 가운데 산은캐피탈은 지난 10일 해킹 공격을 받았고, 12일 금융보안원이 공유한 공격자 IP 주소를 토대로 점검하던 중 침해 사실을 알게 됐습니다. DB저축은행은 10일 침해사고가 발생한 뒤 이튿날 당국에 신고했으며, 고객 정보는 유출되지 않았지만 직원 100여 명의 정보가 유출된 것으로 전해졌습니다. 브라이트픽스도 침해사고를 신고했습니다.

전 금융권 보안 점검 결과

당국이 지난 8일까지 전 금융권 555개사를 대상으로 체크리스트 점검을 진행한 결과, 130개사가 미흡 사항을 보고했습니다. 미흡 사항은 전금업과 온투업에서 특히 많았으며, 주요 항목으로는 최신 보안패치 미적용, 제조사 기술지원이 종료된(EOS) 시스템 관리 미흡, 24시간 실시간 관제 체계 미구축, 공격표면 관리 미흡 등이 꼽혔습니다. 공격표면과 관련해서는 대외 시스템의 인증·인가 누락과 중요 서비스에 다중 인증(MFA)을 도입하지 않은 사례를 당국이 지적했습니다. 해당 금융회사들은 보완 조치 실행계획을 보고하고 추가 조치를 진행 중입니다.

금융당국은 공유된 IP 주소를 바탕으로 금융사들이 침해 발생 여부를 현재도 확인하고 있으며, 사고 금융사 수는 이보다 더 늘어날 수 있다고 덧붙였습니다. 다만 계좌번호나 카드번호처럼 부정 결제에 직접 활용될 우려가 있는 정보는 확인되지 않았다고 설명했습니다.

당국 입장과 후속 일정

신진창 사무처장은 롯데카드 정보 유출과 미토스 쇼크 등으로 여러 차례 전수점검과 관리 강화를 주문했지만, 금융회사에서 기본적인 부분이 지켜지지 않은 사례가 발견된 것은 “매우 뼈아픈 부분”이라고 말했습니다. 이어 전 금융권의 보안관제 체계와 CEO·이사회의 책임성 확보 등 보안 체계 전반을 재점검해 근본적인 제도개선이 이뤄지도록 하겠다고 강조했습니다. 금융당국은 이러한 점검 결과를 바탕으로 금융회사 보안 체계와 관리시스템에 대한 전수점검을 추진할 방침입니다. 망 분리 규제 완화 등 제도개선도 신속히 추진한다는 계획입니다.