[비즈니스포스트] 10월 초 은행권에서 시작된 금융권 해킹 사태가 좀처럼 잦아들지 않고 일파만파 퍼지고 있다. 

은행과 저축은행, 상호금융, 가상자산, 여신전문금융업에 이어 증권사와 자산운용사까지 뚫리면서 카드사를 제외한 사실상 전 금융업권의 보안체계가 시험대에 올랐다.
 

금융권에 따르면 28일 대신증권과 빗썸 미래에셋운용의 해킹 사고가 확인됐다.

금융투자업권에서도 처음으로 침해사고가 확인되면서 금융권의 보안 우려가 더욱 커지고 있다.

대신증권은 내부조사 결과 고객 3만8490명의 개인신용정보가 유출된 것으로 확인됐다고 밝혔다. 이번 사고는 17일 투자일임 비대면 증권계좌 개설 연계서버에서 해커의 비정상적인 접근 징후가 포착되면서 드러났다. 

대신증권 관계자는 비즈니스포스트에 “이번 해킹은 투자 일임이나 자문 애플리케이션을 통해 대신증권에 가입하는 과정에서 비정상적 접근이 일어난 것”이라며 "메인서버 피해나 2차 피해는 없었다"고 설명했다.

미래에셋자산운용에서도 외부 인터넷주소(IP)를 통한 비정상적인 접근으로 일부 정보가 유출됐다. 

미래에셋운용 관계자는 “접근 경로를 차단하고 분석 중이다”며 “유출 범위는 일부 업무용 시스템을 이용하는 정보이며 주민등록번호·여권번호·운전면허번호·외국인등록번호 등 고유식별정보와 민감정보, 개인신용정보의 유출 없는 것으로 확인됐다”고 말했다. 

가상자산 거래소 빗썸에서도 이날 사내 업무용 시스템이 해킹돼 임직원 개인정보가 유출된 것으로 파악됐다. 외부 비인가자가 임직원과 외주업체 등이 사용하는 모바일 그룹웨어 시스템에 침입한 것으로 알려졌다.

금융권 해킹 사고는 지난달 말 주요 시중은행을 시작으로 업권을 가리지 않고 확산됐다.

신한은행을 시작으로 KB국민은행 등 제1금융을 거쳐 제2금융권에서는 예가람·웰컴·DB·OK저축은행과 현대캐피탈, 산은캐피탈 등에서 침해사고가 확인됐다.

상호금융권에서는 새마을금고중앙회, 가상자산업권에서는 고팍스 운영사 스트리미와 프라뱅 등에서도 피해가 드러났다. 지난 26일에는 미래에셋생명에서도 보험업권의 해킹에 따른 정보 유출 신고 사례가 확인됐다.

금융당국이 14일 파악한 금융권 침해사고는 모두 16개사로 개인정보 유출 규모는 약 10만 건에 달한다.

이후 미래에셋생명과 대신증권, 미래에셋자산운용, 빗썸 등 4곳에서도 추가로 침해사고가 확인되면서 피해 금융회사는 최소 20곳으로 늘어났다. 나머지 금융회사들의 피해 범위도 조사 중이어서 전체 유출 규모는 더 커질 가능성이 있다.

최근 금융권 침해사고는 핵심 금융거래망보다 외부와 연결된 업무용 시스템이나 모바일 페이지, 외부 연계서버 등에서 잇따라 발생하고 있다. 이러한 시스템이 뚫리면 개인정보 유출뿐 아니라 추가 공격의 통로로 악용될 수 있어 기존 보안관리 체계의 사각지대가 부각되고 있다.

금융위원회가 14일 발표한 자체 보안점검 결과에 따르면 8일까지 금융회사 555곳을 점검한 결과 130곳(23.4%)에서도 총 248건의 미흡 사항이 보고됐다. 최신 보안패치 미적용과 24시간 보안관제체계 미구축 등 기본적인 보안관리조차 제대로 이뤄지지 않은 사례가 확인됐다.

사이버 공격이 고도화되는 만큼 금융권이 기존 보안체계를 점검하고 관련 투자를 확대해야 한다는 지적도 나온다.

염흥열 순천향대학교 정보보호학과 명예교수는 비즈니스포스트와 통화에서 "최근 사이버 보안 위협 환경이 변화했기 때문에 정보보호에 더 많은 투자를 해야 한다"며 "우선순위를 세워 단기적으로는 지원망에 대한 보안 투자를 강화하고 장기적으로는 인공지능(AI) 기반 대응체계를 구축하기 위한 예산과 인력을 투입해야 한다"고 말했다.

이어 "최근 금융권 침해사고는 지원망에서 발생하는 양상이지만 핵심망이 뚫리게 되면 금융자산이 불법적으로 이체되는 상황이 발생할 수 있다"며 장기적으로 AI 기반 대응체계, 제로트러스트(Zero Trust), 보안 자동화 등에 투자해야 한다고 언급했다.

제로트러스트는 내부망에 접속했다고 해서 무조건 신뢰하지 않고, 사용자와 기기 등의 접근 권한을 지속적으로 검증하는 보안체계를 말한다. 

금융당국도 금융사들의 보안 체계 강화를 지속해서 압박하고 있다.
 

이찬진 금융감독원장도 이날 서울 여의도 금융감독원에서 열린 은행지주 이사회 의장 간담회에서 "AI가 해킹 수단으로 활용되면서 보안 취약점이 쉽게 탐지되고 동시다발적 공격이 상시화될 것으로 보인다"며 "IT 보안 투자를 비용으로 인식해 충분한 인력과 자원을 투입하지 않는 행태가 더 이상 반복돼서는 안 된다"고 지적했다.

잇단 해킹 사고의 여파는 금융권의 망 분리 규제 완화에도 영향을 미치고 있다. 

망 분리는 내부 업무망과 외부 인터넷망을 분리해 해킹 위험을 줄이는 규제로 금융당국은 AI를 활용한 보안 취약점 점검을 위해 규제 완화를 추진해 왔다.

6월 대형 금융회사 10곳을 대상으로 1차 규제 완화를 시행한 데 이어 최대 15개사를 추가 선정하는 2차 조치를 추진했지만 금융위원회는 지난 6일 사고 수습과 긴급 보안점검 등을 이유로 대상 선정 일정을 연기했다.

이찬진 원장도 19일 국정감사에서 망 분리 규제를 당장 전면적으로 완화하기는 어렵다며 기본 보안통제를 우선하고 AI 보안체계로 단계적으로 전환해야 한다는 입장을 밝혔다.

다만 증권사들의 보안 역량 강화를 위해 망 분리 규제 완화는 필요하다는 의견도 나온다.

금융투자업계 한 관계자는 "해킹 사건 이후 망 분리 규제 이야기가 쏙 들어갔지만 망 분리를 한다고 해킹이 아예 일어나지 않는 것도 아니다"고 말했다.

염흥열 교수도 "망을 연다는 것은 해커 입장에서 새로운 공격 통로를 만드는 것"이라며 "금융사들은 AI를 이용해 해커보다 먼저 취약점을 찾아야 하는 만큼 망 분리 완화는 필요하지만 지금처럼 지원망이 뚫리는 상황에서는 철저한 보안 대책을 갖춘 뒤 추진해야 한다"고 말했다. 김민정 기자