금융권 연쇄 해킹 사태 속 카드사들의 방어 전략

은행과 보험, 증권, 가상자산 시장을 가리지 않고 최근 한 달여간 해킹 피해가 잇따르고 있으나, 카드업계에서는 아직까지 구체적인 피해 사례가 보고되지 않고 있다. 카드사들이 이러한 위기 속에서도 피해를 면한 배경에는 과거 대규모 정보 유출 사고와 지난해 발생한 롯데카드 해킹 사건을 통해 쌓아온 보안 역량이 자리 잡고 있다는 분석이다. 특히 24시간 중단 없이 결제가 이뤄지는 업종의 특성상, 상시적인 모니터링과 즉각 대응 체계를 구축해 온 점이 방어에 유효한 역할을 했다고 업계는 설명한다.

하지만 현재 피해가 확인되지 않았다는 사실이 곧 완벽한 보안을 의미하는 것은 아니다. 카드사들은 여전히 공격의 징후가 포착되고 있다고 판단하며 비상 대응 태세를 늦추지 않고 있다. 28일 금융권에 따르면, 카드사 보안 조직은 최근 발생하는 해킹 시도에 대응하기 위해 모니터링과 점검을 한층 강화했다. 비정상적인 파라미터나 URL 요청, 보안 취약점을 찾아내려는 스캔 시도 등을 실시간으로 감시하고, 침해 정황이 발견되는 즉시 차단하는 방식을 취하고 있다. 이와 함께 서버와 보안 취약점에 대한 정밀 점검도 병행 중이다.

업계 관계자는 단말기와 서버에 적용된 보안 솔루션 및 침입 차단·방지 시스템을 대폭 보강했다고 밝혔다. 또한 악성코드에 대한 점검과 보안 취약점 개선을 위한 서버 재점검 절차를 차례로 수행했다는 설명이다.

뼈아픈 과거 사고가 만든 강력한 보안 경계심

카드업계가 이토록 보안에 민감하게 반응하는 이유는 과거의 대형 사고들이 남긴 교훈 때문이다. 2014년 초 발생한 KB국민·롯데·NH농협카드의 고객정보 유출 사태가 대표적이다. 당시 시스템 개발을 담당하던 신용정보업체 코리아크레딧뷰로(KCB) 직원이 이동식 저장장치(USB)를 이용해 정보를 빼돌리면서, 중복 건을 포함해 약 1억 400만 건에 달하는 데이터가 유출됐다. 이는 외부 해킹이 아닌 협력업체 직원을 통한 내부 보안의 허점이 드러난 사건으로, 금융당국으로부터 3개월간의 일부 업무정지 처분을 받으며 신규 회원 모집과 카드 발급 등 영업 활동에 큰 차질을 빚기도 했다.

이 외에도 2011년 농협 전산망 해킹으로 인한 카드 업무 장애와 같은 사건이 있었으며, 같은 해 삼성카드와 하나SK카드에서도 내부 직원에 의한 정보 유출이 발생한 바 있다. 외부 침입에 의한 서비스 중단부터 내부자에 의한 정보 유출까지 다양한 형태의 위기를 겪어온 셈이다. 카드업계는 지난해 롯데카드 해킹 사건 이후 금융당국의 주도하에 방화벽과 침입 방지 시스템, 서버 정책 등을 전면적으로 재점검하며 보안 역량을 한 단계 끌어올렸다고 설명한다.

한 업계 관계자는 롯데카드 사건 이후 보안 프로그램을 교체하고 업그레이드했으며, 보안 인력과 예산을 대폭 확충함으로써 선제적 대응이 가능해졌다고 전했다. 다만 여전히 여러 공격 징후가 나타나고 있어 카드사 역시 해킹에 취약한 고리가 존재할 수 있다는 경계심을 유지하고 있다.

인력과 예산 대폭 늘린 카드사, 실효성 입증 과제

카드업계는 주야간과 휴일에 관계없이 결제가 지속되는 사업 구조 덕분에 상시 대응 체계를 유지해 온 점을 강점으로 꼽는다. 실제로 카드사의 정보보호 인력 비중은 은행이나 증권업권보다 높게 나타난다. 김용만 더불어민주당 의원실이 금융감독원으로부터 제출받은 자료에 따르면, 전업 카드사 8곳의 IT 인력 대비 정보보호 인력 평균 비중은 지난해 말 11.7%에서 올해 6월 말 12.6%로 상승했다. 이는 같은 기간 8.55%를 기록한 은행권이나 9.78%인 증권사보다 높은 수준이다.

구체적으로 카드사 8곳의 정보보호 인력은 지난해 6월 312명에서 올해 6월 339명으로 늘어났다. 개별적으로는 신한카드가 39명에서 51명으로, 롯데카드가 39명에서 47명으로 증가했다. 현대카드는 68명에서 74명, KB국민카드는 32명에서 37명으로 늘었으며, 삼성카드는 51명(2명 증가), 하나카드는 18명(1명 증가)을 기록했다. 예산 규모 역시 확대되어, 8개사의 정보보호 집행액은 2022년 971억 5000만 원, 2023년 994억 9000만 원, 2024년 997억 5000만 원으로 1000억 원 안팎을 유지하다 지난해 1205억 3000만 원으로 급증했다. 올해 8월 말까지의 집행액은 908억 5000만 원으로, 이미 지난해 연간 집행액의 75.4%에 달한다.

하지만 이러한 투자가 이번 해킹 사태를 막은 결정적 요인인지에 대해서는 신중한 접근이 필요하다. 업종마다 공격 방식과 집중도가 다를 수 있고, 현재의 피해 미확인 상태만으로 방어 체계의 실효성을 단정하기는 어렵기 때문이다. 금융권 관계자는 해커들이 파급력이 큰 업종을 먼저 겨냥했을 가능성을 언급하며, AI 기술을 활용한 공격 방식의 진화에 맞춰 기존 방어 체계의 취약점을 지속적으로 점검해야 한다고 강조했다. 그는 "방패가 창보다 약하면 언제든 뚫릴 수 있다"며 한순간의 방심이 해킹의 빌미가 될 수 있음을 경고했다.