7개 금융회사 AI 추정 해킹 공격 홈페이지, 법상 취약점 점검대상 아냐
금융위, 금융회사 연 1회 취약점 분석평가 주기 단축하고 연 2회 홈페이지 점검 대상 대폭 확대
건당 5000만원 이하 이행강제금도 도입 추진
금융권의 잇따른 해킹 사고 대책으로 최소 연 1회 이상의 취약점 분석평가 주기를 단축하고 연 2회 의무인 홈페이지의 적용 대상을 대폭 상향하는 방안이 추진된다. 이번 AI(인공지능) 에이전트로 추정되는 해킹 공격은 금융회사 '외곽' 시스템에서 벌어졌는데, 정작 법상 취약점 점검 대상은 아니었던 것으로 나타났다. 현행 보안 규제는 지난 2015년에 도입돼 AI(인공지능) 시대에 걸맞지 않다는 비판이 제기된다.
6일 금융당국에 따르면 금융위원회는 전자금융거래법상의 전자금융기반시설의 취약점 분석·평가 대상을 대폭 확대하는 방안을 추진한다. 최근 7개 금융회사에서 벌어진 AI 에이전트 추정의 해킹 공격으로 인한 정보유출 후속 대책 중에 하나다.
금융회사에 대한 취약점 분석평가는 정보 보안을 위한 "출발점이자 기본"이라고 할 수 있지만 현행 규제는 지난 2015년 만들어졌다. AI 해킹이 버젓이 벌어지고 있는데도 관련 규제는 AI를 경험하지 않은 10년 전에 만들어져 시대를 따라가지 못한다는 비판이 제기된다.
금융당국은 우선 현행 '연 최소 1회' 이상으로 돼 있는 전자금융기반시설의 취약점 분석평가 주기를 최소 연 2회 이상 단축하는 방안을 검토하고 있다. 자산 2조원이상, 상시 종업원수 300인 이상의 금융회사 또는 전자금융업자는 규정상 자체 점검 혹은 외부 업체와 계약을 맺고 취약점을 점검해 금융위에 주기적으로 보고해야 한다.
금융권 관계자는 "현행 기준이 최소 연 1회라서 대부분의 금융회사들은 최소 기준만 충족하고 있다"며 "점검 주기가 단축되면 금융회사들의 보안이나 해킹 위험에 대해 더 큰 경각심을 갖고 비용과 인력을 더 투입해야 한다"고 말했다.
연 2회로 돼 있는 홈페이지(웹페이지) 점검 주기나 대상은 지금보다 대폭 강화된다. 현재는 결제나 이체 등의 금융거래가 있는 홈페이지만 점검 대상이다. 법이 2015년에 만들어진 만큼 대부분은 고객에게 공개되는 인터넷뱅킹 등 홈페이지가 대상이었다. 금융거래가 수반되지 않는 홈페이지는 점검 대상에서 제외됐다. 이번에 AI 에이전트 추정의 해킹 공격은 대출 모집인 홈페이지나 내부 직원용 영업지원 홈페이지에서 발생했는데, 현행 규정에 따르면 이는 점검 대상에 포함되지 않는 것이다.
금융회사별로 운영 홈페이지가 최소 수십개에서 100개가 넘는 경우도 많다. 이에 따라 연 2회 홈페이지 취약점 점검을 할때 규정이 명확하지 않아 금융회사별로 점검 대상이 들쭉날쭉이었다.
독자들의 PICK!
금융권 관계자는 "한쪽의 과일이 썩으면 주변 과일이 썩듯, 금융거래가 수반되지 않은 홈페이지가 취약하면 고객용 인터넷뱅킹까지 안전을 장담하지 못한다"며 "홈페이지 점검 대상을 더 확대해야 해킹에 철저하게 대비가 가능해진다"고 말했다.
취약점 점검을 하지 않은 금융사에 대해서는 실질적인 제재도 추진된다. 지금은 이행을 하지 않더라도 금융당국이 마땅한 제재 수단을 두고 있지 않고 구두 경고에 그친다. 정부와 국회에서는 이행을 하지 않거나 안전성 확보 의무를 위반한 경우 5000만원 이하의 이행강제금을 도입하는 내용의 개정안을 지난해말 발의한 상태다. 건당 강제금이기 때문에 실제 패널티는 눈덩이처럼 불 수 있다. 그만큼 금융회사에는 부담이 된다.
금융당국 관계자는 "취약점 검점은 금융회사의 보안을 위한 기본중의 기본으로, 앞서 발표한 이행강제금을 포함해 취약점 점검에 대한 규제를 대폭 강화하는 쪽으로 제도 개선을 검토하고 있다"며 "정보유출 사고를 계기로 금융권이 더 높은 경각심을 갖도록 제도를 신속 보완할 계획"이라고 밝혔다.
