12년 전 카드사 정보유출 사고는 악몽으로 남아있다. KB국민·롯데·NH농협카드에서 1억건의 정보가 빠져나갔고 고객들이 대거 카드를 해지하는 '카드런'이 벌어졌다.
이후로도 금융은 디도스 침투, 악성코드 감염 등의 주요 타깃이 됐다. 금융정보 유출의 민감도가 높은 이유는 경제적 피해로 직결될 수 있는 탓이다. 역으로 생각해보면 해커들이 금융정보에 눈독을 들이는 배경도 그만한 가치가 있다는 방증이다.
금융권을 노린 공격은 앞으로 더 많아질 전망이다. AI에이전트라는 신출귀몰한 공격자가 등장했기 때문이다. 전문 해커가 아니더라도 손쉽게 취약점을 알아내 정보를 빼가는 시대가 시작됐다. 이번 공격에 중국산 AI가 쓰였단 사실을 발견한 국내 보안전문가는 "지옥문이 열렸다"고 표현했다.
이번 해킹으로 16곳에 달하는 금융사가 공격을 당한 것으로 파악된다. 은행을 비롯해 상호금융, 여전업, 가상자산까지 털리지 않은 분야가 없다. 계좌나 카드 비밀번호 등 결제에 이용될 수 있는 민감정보가 목록에서 빠졌다는 건 그나마 다행이다.
피해규모는 제한적이었지만 보안 체계의 허점은 분명히 드러났다. 공격에 동원된 방법은 개인정보를 대량으로 대입해 로그인을 시도하는 '크리덴셜 스터핑'으로 고전적인 수법이다. 심지어 몇몇 금융사들은 신한은행 사고가 알려지기 전까지 공격 사실조차 인지하지 못했다.
금융권이 보안 투자에 인색했던 건 아니다. 금융업이 정보보호에 쓰고 있는 돈은 타업종에 비해 많게는 10배 더 많다. 중요한 건 돈을 '얼마나' 쓰는지보다 '어디에' '어떻게' 쓸 것인지다. 5대 은행의 지난해 정보보호 예산은 2280억원에 달했지만 이 중 AI 보안 관련 투자는 219억원으로 9.6%에 그쳤다. 그마저도 내부자 이상행위 탐지에 집중됐다. 핵심 서버가 아닌 영업지원용 등 주변 서버를 보안이 취약한 상태로 방치했다.
이번 사태는 금융권에 치명상을 남기기 전 찾아온 예방주사일 수 있다. 하지만 예방접종을 맞았다고 병에 걸리지 않는 것은 아니다. AI 해킹이라는 새로운 위협 앞에서 안일한 관행을 바꾸지 않는다면 다음번에는 '뱅크런'이란 큰 대가를 치를 수 있다.
