은행부터 가상자산거래소까지 뚫린 금융권 보안망
정부가 지난해 롯데카드 해킹 사고를 계기로 발표했던 범정부 차원의 정보보호 대책이 무색해졌다. 은행과 보험사를 비롯해 증권, 자산운용사, 심지어 가상자산거래소에 이르기까지 금융권 전 영역이 해킹 공격에 속수무책으로 노출됐기 때문이다. 사고가 발생할 때마다 정부는 새로운 대책을 내놓고 있지만, 정작 기존의 보안 체계가 현장에서 제대로 작동하고 있는지에 대해서는 근본적인 의구심이 제기되고 있다.
특히 시중은행과 10대 종합금융투자사업자는 정부의 상시 점검 대상에 포함되어 있음에도 불구하고, 이번 사태에서 기업과 당국 모두 피해 규모를 정확히 파악하지 못하는 등 관리 부실 문제가 불거졌다. 금융당국과 업계에 따르면 최근 발생한 대신증권, 미래에셋자산운용, 빗썸의 해킹 피해 규모와 공격 주체는 현재까지도 파악 중인 상태다.
대신증권 3만 8천여 명 정보 유출 및 업계 피해 현황
대신증권은 지난 17일 비대면 증권계좌 개설과 연계된 서버에서 해커의 비정상적인 접근 징후를 포착했다고 밝혔다. 금융보안원과 함께 열흘간 6만여 건의 이상 신호를 전수 조사한 결과, 현재까지 확인된 유출 피해자는 총 3만 8,490명에 달한다. 유출된 항목은 이름, 이메일, 주소, 통신 ID, 은행명, 암호화된 입출금 및 종합계좌번호, 암호화된 휴대전화번호 등 총 8가지다.
미래에셋자산운용 역시 일부 웹 시스템에서 외부 IP의 비정상 접근을 확인하고 경로 차단 및 분석에 나섰다. 다만 해당 시스템은 일반 고객용이 아니기에 고유식별정보나 민감정보의 유출은 없는 것으로 파악됐다고 설명했다. 가상자산 거래소 빗썸의 경우, 외주 업체가 관리하는 사내 메신저에 지난 27일 해킹 공격이 시도되어 임직원 정보 탈취 피해가 발생했다. 빗썸 측은 가상자산 탈취와는 무관하지만, 메신저를 통한 고객 정보 유출 여부를 추가 확인 중이라고 전했다.
이러한 피해 사실이 알려지기 직전인 28일 오전, 이찬진 금융감독원장은 은행지주 이사회 의장 간담회에서 금융투자업계의 해킹 사고를 언급하며 IT 보안 강화를 재차 당부했다. 하지만 금융당국은 시중은행 해킹 이후 한 달도 지나지 않아 가상자산 및 금융투자업계로 피해가 확산된 시점을 언제 인지했는지에 대해 함구하고 있다. 금감원 측은 현재 대신증권과 빗썸에 대한 현장 점검을 진행 중이며, 미래에셋자산운용에 대해서도 조만간 조사를 착수할 계획이라고 밝혔다.
AI 해킹 기술과 보안 사각지대의 위험성
금융위원회는 이번 사태와 관련해 '전자금융거래법'이 적용되지 않는 가상자산 업권 등에 대해서도 은행권 수준의 보안 조치를 강화하도록 다각적인 방안을 추진하겠다고 발표했다. 그러나 업계에서는 이번 사고들이 은행권 사태와 유사하게 '내부 핵심망'이 아닌 관리가 소홀했던 '외부 시스템'을 통해 발생했다는 점에 주목하고 있다.
전문가들은 AI 기술을 활용한 고도화된 해킹이 보안 사각지대를 실시간으로 찾아내고 있다고 경고한다. 김승주 고려대 정보보호대학원 교수는 현재 발생한 모든 침해 사고의 공통점이 내부 업무망이 아닌 인터넷 접점에 있는 외부 시스템이라는 점을 지적하며, 기업들이 내부망은 철저히 관리하면서도 외곽 시스템의 관리에는 소홀했다는 점을 문제 삼았다. AI는 24시간 빈틈을 찾아다닐 수 있기 때문에, 관리자가 인지하지 못하는 사각지대가 뚫리는 것이 핵심이다.
실제로 금융위가 지난 14일 발표한 자료에 따르면, 전 금융권 555개사를 대상으로 점검한 결과 130개사에서 미흡 사항이 발견된 것으로 나타났다. 이는 지난해 롯데카드 사태 당시 보안 업데이트가 되지 않은 시스템이 뚫렸던 것과 유사한 양상이다. 염흥열 순천향대 명예교수는 해커들이 자동화 도구로 보안이 취약한 외곽 시스템에 집중하고 있다고 분석하며, 지원망을 통해 핵심망으로 위험이 전이되지 않도록 보안 수준을 높여야 한다고 강조했다. 또한 소비자들에게도 이중인증(OTP 등) 사용과 백신 설치를 통한 자체 보안 노력을 권고했다.