은행, 보험, 증권사 뿐 아니라 가상자산업, 전자금융업, 온라인투자연계금융업(온투업)까지 전방위적으로 AI(인공지능) 해킹 피해가 잇따른 가운데 전 금융권의 580개사를 대상으로 외부접점·내부통제에 대한 전면 전수점검이 다음달까지 시행된다.
대형 금융회사는 해킹 취약점 분석·평가를 연 1회에서 2회로 의무화 하며, 보이스피싱 탐지 등도 고도화 한다.
금융위원회는 이억원 위원장 주재로 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 개최하고 이같은 내용의 대응 방안을 논의했다고 5일 밝혔다. 간담회에는 범정부적 공조 차원에서 국무조정실, 과학기술정보통신부, 행정안전부, 개인정보보호위원회 등과 전 금융권 협회장들이 참석했다.
금융권 침해사고가 확인된 지난 9월 30일 이후 현재까지 총 37개사, 40건의 침해 사고가 신고됐다. 은행(4개)·보험(3개)·증권(5개) 등 전통적인 금융업권뿐 아니라, 가상자산업(3개), 전자금융업(10개), 온투업(4개) 등 전 업권에서 침해사고가 신고됐으며 지난달 14일 체크리스트 점검이 완료된 이후에는 주로 중소규모 증권·보험사나 전자금융업, 온투업, 가상자산거래소 등의 침해사고가 많이 보고되고 있다.
침해사고에 따른 정보유출 규모는 현재까지 약 47만3000건으로 파악됐다. 주로 임직원 정보나 고객 성명, 주민등록번호, 계좌번호 등 금융회사 영업과정에서 수집한 정보들이 많으며, 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았다. 일부 소규모 가상자산거래소·전자금융업자·온투업자의 경우에는 회사가 관리하는 자금이 탈취되는 사고도 발생했다. 자금탈취 규모는 현재까지 약 10억원 수준으로 신고됐다.
이에 따라 전자금융거래법 적용 대상이 아닌 가상자산업권까지 모두 포함해 전 금융업권을 대상으로 IT자산의 외부접점(API 등 포함)·내부통제체계 운영실태를 신속하고 면밀히 전수 점검할 계획이다. 580개사가 대상으로 △홈페이지 등 대고객 서비스뿐 아니라 △직원관리, △내부업무△제휴업무 등 외부에서 접근가능한 모든 업무영역이 대상이다.
관리대장에 등재돼 있는 시스템상 외부접점 전수점검은 이달 말까지, 관리대장에 등재되지 않은 미등재 시스템은 다음달까지 마무리 지을 예정이다. 내년 1분기 중에는 보안 내부통제 가이드라인을 마련해 시행한다.
개별 금융회사들이 각자 파악한 침해시도 정황·내용 등을 최대한 신속하게 전 금융업권에 전파하는 시스템도 신속하게 구축한다. 공격방식, 공격자 IP, 악용된 취약점, 악성코드 정보 등을 선제적으로 대응할 수 있도록 통합관제시스템(FIRST)을 활용해 전 금융권에 신속히 전파하고, 이를 공유받은 금융회사들은 자체적인 침해사고 대응, 취약점 보안 등 업무에 이를 적극 활용할 수 있다.아울러 가상자산업계도 침해사고가 발생하면 KISA뿐 아니라 금융감독원·금융보안원에도 즉시 신고토록 한다.
대형 금융회사부터 단계적으로 연 1회 이상인 취약점 점검 횟수를 연 2회로 확대한다.
정보 유출로 인한 2차 피해 방지를 위해서 다크웹 등 개인정보 유통을 상시 모니터링하고 차단한다. 보이스피싱 탐지·대응체계도 고도화(ASAP 2단계) 하기로 했다. 금융회사가 범죄여부가 의심되는 거래를 ASAP에 질의하면, AI를 활용해 해당 거래가 보이스피싱에 연루되었을 가능성을 분석해 점수(0~100점)로 제시하는 AI 기반 의심거래 판단지수(피싱지수)를 이달 시범 도입한다.
AI로 공격을 탐지하고 차단하는 보안역량을 키우기 위해 망분리 규제 전면해제 TF(태스크포스)도 본격 가동한다. 보안목적 AI 테스트 상시화 및 혁신금융서비스 확대도 추진한다. 해킹위협 현실화, 디지털 혁신 가속화 등 급변하는 보안환경에 맞춰 전산보안 규율이 확립될 수 있도록 '디지털금융 안전법'도 내년 1분기 안에 도입할 예정이다.
이억원 위원장은 "금융권 CEO(최고경영자)들이 절체절명의 위기상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성해 정부에서 준비한 전수점검 계획과 제도개선 과제에 맞추어 긴밀한 상황대응과 튼튼한 보안체계 마련에 사력을 다해주길 바란다"고 강조했다.