[서울=뉴스핌] 김양섭 기자 = 금융위원회가 금융회사 보안 취약점 평가의 주기를 단축하고 대상 범위를 넓히는 한편, 보완조치를 강제할 수단도 강화하는 개선안을 조만간 내놓을 방침이다.

대출모집인 조회 서비스, 직원용 업무시스템 등 이번 연쇄 해킹의 표적이 정기 점검 밖에 있었다는 지적이 나오자, 금융회사 자율에 맡겨온 점검 체계를 손보는 것이다. 인공지능(AI) 보안을 위한 망분리 완화 기조는 유지하되 점검과 책임은 무겁게 묻겠다는 방향이다.

7일 금융권에 따르면 지난달 30일 이후 신한·KB국민·하나·BNK부산은행과 현대캐피탈, 예가람·웰컴저축은행 등 7개 금융회사가 해킹 피해를 입었다. 신한은행에서 약 2만5000명의 대출 관련 개인(신용)정보가 빠져나갔고, KB국민은행(119명)과 하나은행(89명)에서도 고객 정보가 유출됐다.

BNK부산은행에서는 외주 개발직원 11명의 정보가 노출됐다. 금융감독원이 특정한 공격 IP는 중복을 빼고 28개다. 증권·카드·보험사와 인터넷전문은행에서도 비정상 접근 시도가 확인됐다.

이재명 대통령은 지난 6일 국무회의에서 "AI 기술의 발달로 해킹 수법이 갈수록 고도화하고 피해 범위 또한 과거와 비교가 어려울 만큼 전방위로 확산되고 있다"며 국가 핵심 보안체계 전반을 점검하라고 지시했다. 같은 날 한성숙 국무총리도 금융·공공기관 개인정보 유출 관련 회의를 주재하고 "기존의 보안체계와 점검 체계로는 대비하기 어려운 상황이니 전면적 개편을 서둘러야 한다"고 말했다.

◆ 외부 업무시스템 노린 해킹…점검 사각지대 손본다

금융위는 "취약점 분석·평가의 주기 단축, 점검범위 확대, 이행강제 수단 강화 등 다각적·체계적인 보완 방안을 자체적으로 추진해 왔으며 조속한 시일 내 발표할 계획"이라고 밝혔다.

현행 전자금융감독규정은 전자금융기반시설에 대해 연 1회 이상, 홈페이지는 6개월에 1회 이상 취약점 분석·평가를 하도록 정하고 있다.

문제는 모든 IT자산이 일률적인 정기 평가 대상은 아니어서, 어떤 자산을 평가 대상으로 삼을지에 대한 판단이 금융회사 자체 판단에 크게 의존해왔다는 점이다.

이번 공격은 핵심 금융거래 시스템이 아니라 외부에서 접속하는 업무용 시스템을 노렸다. 신한은행은 대출모집인용 간편조회 서비스, KB국민은행은 직원용 모바일 업무지원시스템, 하나은행은 영업지원시스템이 뚫렸다. 이들 시스템 상당수는 정기 점검 대상에서 빠져 있었던 것으로 전해졌다.

금융위 관계자는 "취약점 점검·평가는 모든 금융회사 보안 점검의 기본 중의 기본"이라며 "1년에 한 번 받는 건강검진과 비슷하다. 검진을 받아 문제가 있는지 알아야 약을 처방하든 수술을 하든 할 수 있다"고 설명했다. 이어 "이번에는 메인으로 잘 지키던 곳이 뚫린 게 아니라 대출모집인 등이 쓰던 부수 시스템에서 문제가 났다"며 "그런 부분까지 꼼꼼하게 점검하지 않으면 이런 유형의 공격에 훨씬 쉽게 노출된다"고 덧붙였다.

금융위는 점검 주기를 단축하고, 금융거래가 이뤄지는 사이트로 한정됐던 홈페이지 점검 대상도 확대하는 방안을 검토 중이다. 금융위 관계자는 "대폭 개선이 필요하다. 점검 빈도는 물론 점검 내용도 더 타이트하게 관리돼야 한다고 보고 있다"고 말했다.

◆ 규제는 유연하게…망분리 완화는 '일정 연기, 기조 유지'

점검을 조이는 것과 달리 기술 규제는 푸는 방향을 이어간다. 금융위는 지난 5월 고성능 AI를 이용한 공격에 대응하기 위해 보안 목적이라면 망분리 규제를 1년간 한시적으로 풀어주기로 했다. 6월 1차로 10개 금융회사가 외부 고성능 AI로 내부 취약점을 점검하는 테스트에 들어갔다. 9월에는 신청 문턱을 총자산 2조원·상시 종업원 300명 이상으로 낮추고 제2금융권과 전자금융업자까지 2차 신청을 받았다.

이번 해킹 사태로 일정은 밀렸다. 금융위는 7일로 예정했던 2차 참여사 선정을 미뤘다. 사고 수습과 긴급 점검에 인력이 몰려서다. 금융위 관계자는 "해킹 사태 수습과 현장 점검이 가장 우선이어서 당초 일정이었던 7일 발표하는 건 물리적으로 쉽지 않다"고 설명했다. 보안 테스트 역시 해킹 사태가 어떻게 흘러가는지 지켜볼 필요가 있다는 판단이다.

재개 날짜는 정하지 않았지만 완화 기조는 유지한다는 입장이다. 금융위 관계자는 "AI 공격은 AI로 막는다는 대전제나 이 프로그램 자체가 후퇴하는 것은 절대 아니다"라며 "오히려 더 촘촘하고 강하게 추진해야 하는 상황인 만큼 잠정 보류가 아니라 일정 조정에 가깝다"고 말했다.

◆ 책임은 무겁게…경영진 책임은 전금법 통과가 관건

책임을 묻는 수위는 높아질 전망이다. 이억원 금융위원장은 지난 4일 전 금융권 긴급회의에서 "이미 공유된 공격정보와 사고 사례가 있음에도 필요한 점검과 대응을 소홀히 해 유사한 사고가 발생하는 경우에는 관련 법령에 따라 엄정히 책임을 묻겠다"고 경고했다. 금감원은 공격 IP와 취약점 정보를 금융회사들과 공유한 상태다. 공유된 정보를 받고도 같은 수법에 뚫리면 책임을 피하기 어렵다는 뜻이다.

다만 '경영진 책임'은 입법화 과제가 남아 있다. 점검 주기와 범위는 금융위가 감독규정을 고쳐 바꿀 수 있지만, 보완조치를 이행하지 않을 경우 이행강제금을 부과하는 새로운 제재 수단은 법률 개정이 필요하다.

징벌적 과징금과 최고경영자(CEO) 책임 명문화 등도 마찬가지다. 금융위 관계자는 "점검 범주를 넓히거나 횟수를 늘리는 것은 감독규정 개정 사안이라 금융위 자체적으로 얼마든지 할 수 있다"며 "이행강제금은 법안이 올라가 국회 논의 단계에 있다"고 설명했다.

이같은 내용은 유동수 더불어민주당 의원이 지난해 11월 대표발의한 전자금융거래법 개정안에 담겨 있지만 아직까지 국회 계류 상태다. 개정안은 개인신용정보 유출 같은 중대 사고에는 총매출액의 3% 이하 징벌적 과징금을 물리고, 대표이사를 보안 관리의 최종 책임자로 명시한다.

정보보호최고책임자(CISO)는 이사회 의결로 임명하고 임기 2년을 보장한다. 일정 규모 이상 금융회사의 정보보호 공시를 의무화하고, 취약점 보완명령을 따르지 않으면 5000만원 이하 이행강제금을 반복해 매길 수 있게 했다.

◆ 전 금융권 고강도 점검…2차 피해 차단도 병행

금융위 개선안이 나오기 전이지만 점검 강도는 이미 높아졌다. 이 위원장은 지난 4일 회의에서 "소비자 서비스 제공·업무수행에 필수불가결할 경우를 제외한 외부 접근은 원칙적으로 모두 차단"하라고 지시했다. 은행·카드·상호금융·저축은행·보험·증권·핀테크 등 전 금융권은 외부에 노출된 IT자산과 인증·접근통제, 침해 탐지체계를 다시 점검해 당국에 보고해야 한다. 정부는 6일 점검 대상에 가상자산까지 포함했다.

2차 피해를 막는 작업도 함께 진행된다. 금융당국은 6일부터 1개월간 '개인정보 유출 2차 피해 특별대응기간'에 들어갔고 소비자경보 '주의'를 발령했다. 비밀번호·OTP 정보는 유출되지 않았고, 현재까지 고객 자금이 빠져나간 사례도 확인되지 않았다.

다만 당국은 "사기범은 소득, 대출한도 등 본인의 금융정보를 정확히 언급하며 실제 금융회사의 대출 안내인 것처럼 접근할 수 있다"며 맞춤형 대출 빙자 사기를 경고했다. 8일 국회 정무위원회의 금융위 국정감사에서는 개선안의 윤곽과 전금법 개정안 처리 방향이 쟁점이 될 전망이다.

ssup825@newspim.com