(종합)
AI(인공지능) 에이전트 공격으로 추정되는 해킹사고를 당한 금융회사가 당초 알려진 7곳보다 훨씬 많은 16곳에 달하는 것으로 파악됐다. 주민번호 등 유출정보도 10만건에 달했다.
금융권 총 555개사의 보안 체크리스트 점검 결과 130개사에서 미흡사항이 확인됐다. 금융당국은 보안체계·관리시스템을 전수점검하는 한편 취약점 점검·평가를 연 1회에서 연 2회 이상으로 확대하는 등 근본 개선책을 내놓기로 했다.
16개 금융사에서 총 10만건 정보유출..전방위적인 해킹사고
금융위원회는 14일 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청 등 관계기관과 2차 긴급상황대응 회의를 개최했다.
금융당국이 지난달 말 신한은행 해킹사고 발생 이후 전 금융권의 침해사고를 조사한 결과, 총 16개 금융회사에서 해킹으로 인한 정보 유출이 발생한 것으로 파악됐다. 은행을 비롯해 저축은행·상호금융·여신전문업·전자금융업·온라인투자연계업·가상자산사업자 등으로 전방위적으로 사고가 터진 것으로 나타났다.
구체적으로△ 은행권은 신한·KB국민·부산·하나은행 등 4곳이다. △저축은행 업권은 예가람·웰컴·디비·OK 4곳이며 △여전업계는 현대캐피탈·산은캐피탈 등 2곳이었다. 아울러 △온투업은 PFCT, 모우다 등 2곳이 △전금업계(1곳)와 가상자산업계(2곳)에서는 각각 브라이트픽스와 스트리미·프라뱅 등에서 발생했다. 상호금융권에서는 새마을금고중앙회 1곳에서 터졌다.
금융위는 현재도 금융회사들이 공유된 IP 등을 바탕으로 침해발생 여부를 확인중에 있어, 사고발생 금융회사 수는 이보다 더 확대될 수 있다고 밝혔다.
현재까지 확인된 금융권 정보유출 규모는 성명, 연락처, 주민등록번호, 이메일 등 약 10만건이다. 당초 알려진 것보다 피해 규모도 더 늘었으나 계좌 비밀번호나 카드번호 등 직접적 부정결제 우려가 있는 정보 유출은 확인되지 않았다는 게 금융위 설명이다.
금융위는 사고 발생이 신고된 금융회사에 대해서는 공격IP를 차단하고, 보안패치와 관련 서비스 중단 등 추가 침해사고 방지조치를 취했다고 밝혔다. 아울러 금감원·금보원은 현장 조사 등을 바탕으로 침해경로·공격방식 등을 신속히 파악해 각 사례별 연관성·동일 주체 여부·AI해킹 가능성 등에 대해 심도 있게 확인중이다.
체크리스트 점검 555개 중 130개사 '미흡'..보안체계 전수점검·취약점 점검 연 2회 이상으로 확대
지난 8일까지 진행한 전 금융권 555개사에 대한 12항목 체크리스트 점검 결과 총 425개사는 '적정'으로 제출했고 130개사는 '미흡'사항이 있음을 보고했다. 미흡사항이 발견된 회사들은 대부분 보안패치·관제체계 관련 1~2건의 점검항목에서 보완 필요사항이 확인됐다. 상대적으로 보안역량이 약한 전금업·온투업 부문에서 많은 미흡사항이 발견됐다.
구체적으로 △최신 보안패치 미적용 △제조사 기술지원 종료(EOS) 시스템 관리 미흡△실시간(24시간) 관제체계 미구축△공격표면 관리 미흡(대외시스템 대상 인증·인가 누락 △중요 서비스에 대한 강화된 인증절차(MFA) 미도입 등) 등이 주로 보고됐다. 해당사는 즉시 미흡 사항에 대한 조치를 시행중이라는 설명이다.
독자들의 PICK!
금융위는 체크리스트 점검과정 등에서 발견된 취약요인 발생을 구조적·체계적으로 방지할 수 있는 근본적인 제도개선을 추진한다. 우선 금융회사 보안체계·관리시스템 전수점검을 추진한다. 전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화하고, 외부접점의 인증·접근통제 권한을 명확히 설정·엄격히 관리한다. 외부접점 관리 등 보안체계 운영·관리와 CEO(최고경영자)·CISO(정보보호최고책임자)·CIO(최고투자책임자) 등의 보고체계·책임범위 등도 명확할 방침이다.
해킹을 조기 포착하기 위해 공동 대응 체계도 마련된다. 금감원·금보원이 파악한 해킹위협 정보는 통합관제시스템(FIRST) 등을 통해 전 금융권에 신속히 전파되고 있는데 금융회사가 자체 파악한 위협정보도 통합관제시스템에서 공유토록 시스템을 개선한다. 공격자 관점에서 외부 노출자산, 내부 소스코드, 모바일 앱 등의 취약점을 탐지할 수 있도록 AI 기반 취약점 점검 인프라 구축도 추진한다.
특히 금융회사가 상시적으로 보안관리를 하도록 관련법상 연 1회·외부 홈페이지는 연 2회 하도록 돼 있는 취약점 점검·평가를 대형 금융회사부터 연 2회 이상 확대한다. 중요한 외부접점 등은 필수 점검대상에 포함해야 한다. 중소형사나 대부업, 보험대리점(GA) 등 AI 보안 위협 대응이 어려운 업권은 공동 보안관계 시스템을 구축할 방침이다.
신진창 처장은 "롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라며 "이번 사고를 계기로 금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것"이라고 밝혔다.
아울러 "AI 보안위협 확대에 대비해 'AI공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 강조했다.
