최근 금융권 곳곳에서 해킹 사고가 이어지면서 이용자들의 불안이 커지고 있습니다. 금융감독원과 금융위원회는 지난 한 달여 동안 37개 금융회사에서 40건의 침해 사고가 신고됐고, 정보 유출 규모가 약 47만 3000건에 이른다고 밝혔습니다. 이에 따라 금융당국은 전 금융회사를 대상으로 금융권 보안 전수점검을 추진하기로 했습니다. 점검 대상에는 은행, 보험, 증권과 같은 전통 금융회사는 물론이고 가상자산사업자, 온라인투자연계금융업자, 전자금융업자까지 포함되어 있습니다.
| 구분 | 내용 |
|---|---|
| 점검 대상 | 금융회사 약 580곳 |
| 점검 방식 | 자체 점검 후 필요 시 현장 점검 |
| 외부접점 점검 | 이달 30일까지 |
| 내부통제 전수조사 | 올해 12월 31일까지 |
| 보완 조치 | 내년 상반기까지 |
금융감독원은 사전에 배포한 체크리스트를 금융회사들이 스스로 점검하는 방식으로 이번 금융권 보안 전수점검을 진행합니다. 체크리스트에는 회사 전산시스템의 외부 접점이 빠짐없이 목록화되어 있는지, 외부 접점에 대한 인증과 접근 통제가 제대로 이루어지고 있는지, 최고경영자와 정보보호최고책임자의 책임 범위가 명확한지 등이 포함되었습니다. 금융당국은 금융회사들의 의견을 들은 뒤 점검 항목을 보완하고, 이르면 다음 주부터 본격적인 점검에 들어갈 예정입니다.
왜 지금 금융권 보안 전수점검이 필요한가
최근 침해 사고는 단순히 작은 금융회사에만 발생하지 않았습니다. 은행 4곳, 금융투자회사 5곳, 보험사 3곳, 저축은행 5곳에서도 사고가 신고되었고, 전자금융업체 10곳과 가상자산사업자 3곳에서도 피해가 확인되었습니다. 특히 전자금융거래법 적용을 받지 않는 업체들은 보안 규율이 상대적으로 약한 영역이었는데, 이번에 실제 금전 피해까지 발생하면서 금융당국이 전방위적인 점검에 나서게 되었습니다.
| 항목 | 현황 |
|---|---|
| 침해 사고 | 37개사 40건 |
| 정보 유출 | 약 47만 3000건 |
| 자금 탈취 | 약 10억원 |
정보 유출에는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함되어 있었습니다. 다행히 계좌 비밀번호와 같은 부정결제에 바로 활용될 수 있는 정보는 아직 확인되지 않았습니다. 다만 일부 소규모 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서는 회사가 고객 자금을 통합 관리하는 계정에서 현금이 빠져나간 사례가 있었습니다. 가상자산 핫월렛과 소비성 포인트, 온투업 예치금 계정을 노린 것으로, 개별 이용자의 직접적인 자금 손실로는 아직 이어지지 않은 상황입니다.
이번 점검에서 특히 확인하는 부분
금융위원회는 최근 침해 사고가 주로 발생한 영역과 그동안 관리가 소홀했을 수 있는 주변부 시스템까지 폭넓게 들여다보겠다고 밝혔습니다. 외부에서 접근 가능한 모든 업무영역이 대상이라는 점이 핵심입니다. 홈페이지와 같은 대고객 서비스뿐 아니라 직원 관리 시스템, 내부 업무용 시스템, 제휴 업무 시스템, 개발이나 테스트용 시스템까지 포함됩니다.
점검을 진행하면서 금전 피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 발견되면 즉시 서비스를 중단하고 외부 접근을 차단해야 합니다. 서비스 중단이 어려운 경우에는 대체 통제 시스템을 갖추고 최고경영자의 승인을 받은 뒤에만 운영을 이어갈 수 있습니다. 이번 금융권 보안 전수점검은 단순히 확인하는 데 그치지 않고, 실제 보안 사고를 예방하는 조치까지 바로 연결되는 방식입니다.
보안 업계에서 일하는 지인의 이야기를 들어보면, 해킹 수법이 점점 정교해지고 있어서 체크리스트 방식의 점검만으로는 한계가 있다는 목소리도 있습니다. 실제로 금융권 실무자들 사이에서도 외부 접점을 얼마나 정확히 파악했는지, 점검 항목이 실제 위협 대응에 얼마나 도움이 될지에 대한 의문이 나오고 있습니다. 그럼에도 이번 금융권 보안 전수점검은 금융회사가 자신의 보안 체계를 스스로 돌아볼 중요한 계기가 될 수 있습니다.
금융당국은 점검 결과를 바탕으로 내년 1분기 중 보안 내부통제 가이드라인을 마련할 예정입니다. 취약점 분석 평가 주기도 대형 금융회사부터 연 1회에서 연 2회로 늘리고, 전자금융거래와 직간접적으로 관련된 모든 외부접점을 평가 대상에 포함하도록 의무화합니다. 긴급한 취약점 점검이 필요한 경우 금융당국이 수시 평가를 요구할 수 있는 근거도 마련합니다. 중요 취약점을 장기간 방치한 회사에는 시정명령을 내리고, 이행하지 않으면 이행강제금을 부과하는 방안도 추진 중입니다.
또한 금융권 공동 해킹 관제시스템도 고도화됩니다. 대형 금융회사가 자체 관제 과정에서 발견한 공격 방식, 공격자 인터넷주소, 악용된 취약점, 악성코드 정보를 통합관제시스템을 통해 모든 금융회사에 빠르게 전파하는 방식입니다. 이 시스템은 다음 달 시범 운영을 거쳐 내년 1분기 중 전 금융권에서 활용될 예정입니다.
전자금융거래법 적용을 받지 않는 가상자산사업자도 앞으로 금융감독원과 금융보안원에 침해 사고를 즉시 신고하도록 가이드라인이 마련됩니다. 금융당국은 내년 1분기 중 가상자산사업자 등에도 전자금융거래법 수준의 보안 규율을 적용하는 디지털금융 안전법 제정도 추진합니다. 이와 함께 인공지능 기반 보안 체계를 위해 망분리 규제 전면 해제 태스크포스를 가동하고, 데이터 중요도에 따른 관리 보호 체계와 제로트러스트 등 대체 보안 수단을 논의합니다.
금융권 보안 전수점검은 이번 달 외부접점 점검과 오는 12월 내부통제 전수조사를 거쳐 내년 상반기 보완 조치까지 이어지는 장기 프로젝트입니다. 이번 점검을 통해 발견된 취약점은 빠르게 보완되고, 앞으로는 인공지능을 활용한 공격에도 대응할 수 있는 새로운 보안 체계가 자리 잡아야 합니다. 금융회사는 보안을 비용이 아닌 필수 투자로 인식하고, 이용자는 내 정보가 안전하게 보호되고 있는지 관심을 가질 때입니다.
금융당국의 구체적인 점검 계획과 관련한 내용은 아래 기사에서 더 자세히 확인하실 수 있습니다.
자주 묻는 질문
Q 금융권 보안 전수점검은 무엇인가요?
A 금융회사가 외부 접점과 내부 통제 체계를 스스로 점검하고, 필요하다고 판단되면 금융감독원과 금융보안원이 직접 현장을 확인하는 제도입니다.
Q 가상자산사업자도 점검 대상에 포함되나요?
A 네, 이번 금융권 보안 전수점검에는 전자금융거래법 미적용사인 가상자산사업자와 온라인투자연계금융업자 등 약 580곳이 포함됩니다.
Q 점검 이후 보완 조치는 언제까지 완료해야 하나요?
A 점검 결과 미흡한 사항은 내년 상반기까지 보완을 마쳐야 합니다. 중대한 취약점은 즉시 서비스를 중단하고 외부 접근을 차단한 뒤 보완해야 합니다.
