머니투데이

최근 금융권을 겨냥한 잇단 해킹 공격에 금융당국이 은행과 카드업권의 긴급 보안점검 결과를 받아 후속 점검에 나선다. 은행과 카드업권 40곳 전체가 6일까지 점검 결과를 제출한 가운데 금융당국은 미흡한 사항이 다수 발견되거나 추가 확인이 필요한 경우 현장점검도 검토할 방침이다. 여러 금융회사에서 공통적으로 드러난 취약점은 향후 제도 개선에도 반영한다. 6일 금융당국에 따르면 금융감독원은 이날까지 제출 대상이었던 은행 20곳과 카드업권 20곳 등 총 40곳의 긴급 보안점검 결과를 모두 수신했다. 증권사와 보험사, 저축은행, 전자금융업자 등 나머지 금융회사는 오는 8일까지 점검 결과를 제출할 예정이다. 이번 점검은 금융당국이 최근 금융권 침해사고 이후 배포한 12개 항목의 체크리스트를 토대로 진행됐다. 당국은 지난 2일 약 500개 금융사에 △공격 IP 차단 여부 △관련 피해 조사 여부 △외부노출 IT 자산·서비스 식별 및 보안 강화 여부 등 12개 항목을 담은 긴급점검 체크리스트를 공유했다. 각 금융회사는 보유한 서버와 전산자원 전반을 대상으로 항목별 점검을 실시했다.

금융권을 겨냥한 연쇄 해킹 공격에 사용된 IP(인터넷프로토콜)가 현재까지 33개 포착됐다. 금융당국은 일부 IP는 국가를 특정할 수 없고 국가가 특정돼도 우회 가능성이 있다고 설명했다. 6일 금융감독원에 따르면 금감원과 금융보안원은 최근 금융권에서 발생한 침해사고와 관련해 해킹을 시도한 IP 주소 33개를 금융회사에 전파했다. 같은 주소를 제외하면 28개다. 금감원과 금융보안원은 사이버 위협에 신속하게 대응할 수 있도록 해킹 시도 IP와 보안 취약점 등 중요 위협정보를 금융권에 공유하고 있다. 최근 금융회사를 상대로 한 해킹이 잇따르자 공격에 사용된 IP와 함께 해당 IP의 일부 국가 정보도 전달했다. 다만 공격자의 소재나 배후를 IP 정보만으로 단정하기는 어렵다는 게 당국의 설명이다. 일부 IP는 국가 자체를 특정하기 어렵고 특정 국가의 IP로 확인되더라도 공격자가 우회했을 가능성이 있기 때문이다. 가상사설망(VPN)이나 해외 서버 등을 통해 접속 경로를 통해 IP를 우회할 수 있다. 금감원은 IP에 표시된 국가를 실제 공격자의 소재 국가로 곧바로 해석해서는 안 된다고 설명했다.

금융감독원이 취업준비생을 대상으로 자산관리 방법과 금융사기 예방법을 알려주는 금융특강을 실시한다. 종잣돈 모으기와 올바른 투자 방법, 신용관리 등 사회초년생에게 필요한 금융생활 기초를 다룬다. 금감원은 취업준비생의 자산관리 역량을 높이고 금융사기 피해를 예방하기 위한 '2026년 청년 금융특강'을 실시한다고 6일 밝혔다. 특강은 오는 11월2일부터 12월18일까지 진행된다. 전국 대학일자리플러스센터를 통해 졸업예정자와 취업준비생 등이 참여할 수 있다. 대학은 10월6일부터 19일까지 금감원 e-금융교육센터를 통해 특강 개설을 신청할 수 있다. 금감원은 대학생 등 사회초년생이 금융생활을 시작하기 전 기본적인 자산관리 방법을 익힐 필요가 있다고 보고 이번 교육을 마련했다. 특히 최근 금융투자에 대한 관심이 높아지면서 빚투와 단기간에 큰 수익을 노리는 투자에 따른 부작용을 예방하는 데 교육의 초점을 맞춘다. 청년층을 노리는 가상자산 연계 투자사기와 고수익 해외취업 사기 등도 다룬다. 고수익을 보장한다거나 가상자산 거래소 또는 관련 재단 직원을 사칭하는 투자사기 사례와 함께 취업을 빙자한 사기 유형과 대처 방법을 안내한다.

최근 금융권을 덮친 해킹으로 이름과 연락처뿐 아니라 연소득·대출한도 등 개인정보와 신용정보가 유출됐지만 직접적인 금전 피해 가능성은 제한적인 것으로 파악됐다. 다만 유출된 정보를 활용한 보이스피싱 등 금융사기 우려는 남아 있다. 금융권은 AI가 사람이 하기 어려운 취약점 파악과 반복적인 공격까지 하는 만큼 향후 더 큰 AI발 해킹을 우려하고 있다. 5일 금융권에 따르면 이번 해킹에서는 금융사별로 수십명에서 수만명 규모의 개인정보 등이 유출됐다. 신한은행에서는 이름·전화번호뿐와 연소득과 대출한도 등이, 국민·하나은행에서는 이름·주소·연락처 등이 빠져나갔다. 다만 은행은 물론 해킹이 발생한 저축은행과 캐피탈업권 등에서도 계좌 정보 등 부정결제에 직접 활용할 수 있는 핵심 금융정보는 유출되지 않은 것으로 파악된다. 금융권에서는 유출된 정보가 보이스피싱이나 스미싱 등 '금융사기'에 활용될 가능성을 우려한다. 공격자가 고객의 이름과 거래 금융사뿐 아니라 직장이나 연소득, 대출한도까지 알고 접근하면 실제 금융사 직원이나 대출상담사인 것처럼 위장하기 쉬워지기 때문이다.

건강보험 가입 후 일정 기간 입원이나 수술을 하지 않으면 보험료를 깎아주는 제도가 있지만 실제 할인을 받는 계약은 5건 중 1건에도 못 미치는 것으로 나타났다. 금융당국은 앞으로 가입자가 "전환하고 싶다"는 의사만 밝히면 보험사가 가장 유리한 할인 조건을 찾아 적용하도록 절차를 대폭 간소화한다. 금융감독원은 건강보험 무사고 계약전환 제도를 계약자 중심으로 개선했다고 5일 밝혔다. 현재 손해보험사 9곳과 생명보험사 9곳은 건강보험 가입 후 일정 기간 입원이나 수술, 중증질환 진단 등이 없으면 기존 보장은 유지하면서 보험료를 할인해주는 무사고 계약전환 제도를 운영하고 있다. 보험료 할인 폭은 무사고 기간이 길수록 커질 수 있다. 한 보험사의 간편보험에 가입한 40대 남성을 기준으로 1년간 무사고일 경우 보험료가 6. 5%, 10년간 무사고일 경우 45. 9% 할인된다. 제도 이용률은 낮다. 올해 5월 말 기준 무사고 전환제도가 적용된 계약은 총 1081만건이다. 이 가운데 계약 체결 후 1년 이상 지난 657만건 중 실제 무사고 전환을 신청해 보험료 할인을 받는 계약은 116만건으로 17.

최근 금융권을 덮친 해킹 공격은 DB(데이터베이스)를 직접 탈취하기보다 웹페이지나 서버에서 고객정보를 조회해 긁어가는 방식이었던 것으로 파악됐다. 수법이 유독 빠르고 반복적이어서 금융당국은 공격자가 AI(인공지능) 도구를 활용해 많은 양의 자동화된 공격을 해낸 것으로 보고 있다. 공격을 받고도 다중인증 체계를 갖추거나 알려진 취약점을 미리 보완한 금융회사는 침해를 막아낸 것으로 나타났다. 박상원 금융보안원장은 4일 오후 '전 금융권 긴급 점검회의'가 끝난 뒤 "공격 형태가 정보를 탈취하는 방식이 아니라 조회해서 긁는 방식으로 똑같다"며 "DB에서 인젝션 방식으로 탈취하는 게 아니었다"고 말했다. DB에 악성 명령어를 주입해 정보를 직접 빼내기보다 외부 웹페이지나 서버에서 조회되는 데이터를 읽어 가져가는 형태라는 의미다. 최근 침해사고가 발생한 KB국민·신한·하나·부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 유사한 형태의 공격수법이 확인됐다. 금융당국은 이같이 빠르고 반복적인 공격수법을 토대로 AI 도구가 활용됐을 가능성을 보고 있다.

웰컴저축은행에서도 해킹 공격으로 법인 고객정보가 유출되는 사고가 발생했다. 시중은행에 이어 제2금융권에서도 해킹 피해로 인한 정보 유출이 잇따르는 양상이다. 4일 금융권에 따르면 웰컴저축은행은 전날 자체점검 과정에서 해킹 공격을 받아 정보가 유출된 사실을 금융당국에 보고했다. 유출된 정보는 법인명과 법인 담당자 이름·이메일·전화번호 등 2200건으로 추정된다. 웰컴저축은행은 정확한 유출 경위와 피해 규모를 파악하고 있다. 현재까지 개인정보 유출 사실이 드러난 금융사는 웰컴저축은행을 포함해 신한·KB국민·하나·부산은행, 예가람저축은행, 현대캐피탈 등 7곳이다.

은행과 저축은행, 캐피탈 등 주요 금융사에서 해킹 침해사고가 잇따르자 금융당국이 전 금융권 수장들을 긴급 소집했다. AI(인공지능)를 악용한 동시다발적 공격 가능성이 제기된 가운데, 금융당국은 이미 공유된 공격정보를 제대로 반영하지 않아 유사 사고가 발생하면 금융사에 엄정한 책임을 묻는다는 방침이다. 금융위원회는 4일 오후 이억원 금융위원장 주재로 '전 금융권 긴급 점검회의'를 개최했다. 금융당국과 금융보안원, 전 금융업권 협회 대표가 참석한 가운데 침해사고가 발생한 KB국민·신한·하나·부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사의 CEO(대표이사)들이 전원 자리했다. 이번 회의는 최근 금융사에서 사이버공격이 잇따라 발생해 7개 금융사의 정보유출 피해로 이어지면서 금융권 전체 대응체계를 점검하기 위해 마련됐다. 금융위와 금감원, 금보원은 지난달 30일 신한은행 침해사고 접수 직후 현장조사에 착수했고 이후 추가로 접수된 금융회사들의 침해신고에 대해서도 사고조사를 진행하고 있다.

4일 오후 금융위원회.

금융당국이 토스뱅크의 엔화 환율 오기 사고와 관련해 이 사고를 전자금융거래법상 '오류'로 볼 것인지 여부에 대해 법리 검토에 돌입했다. 당시 토스뱅크는 엔화 환율을 절반수준으로 잘못 고시해 280억원에 달하는 환전 거래가 발생하자 이를 '오류'로 규정해 고객 동의 없이 환수 조치에 나섰다. 이용자가 이미 고시 가격을 인지했기에 오류로 볼 수 없다는 의견이 제기되는 가운데 금융당국의 판단이 향후 소비자 민원 처리와 사후조치 적정성 판단에 중대한 영향을 미칠 전망이다. 4일 금융권에 따르면 금융감독원은 상위기관인 금융위원회에 토스뱅크의 엔화 환전 사고가 전금법상 오류인지에 대해 법리 해석을 요청했다. 토스뱅크는 지난 3월 100엔당 932원이던 엔화 환율을 절반수준인 472원으로 잘못 적용했다. 환율이 잘못 표시된 7분여간 280억원에 달하는 환전이 이뤄졌고 토스뱅크는 거래된 엔화를 회수하고 매수에 사용된 원화 금액은 환불했다. 당시 토스뱅크는 전자금융거래법과 이용약관을 근거삼아 일괄적으로 거래를 취소하고 환수 조치를 나섰다.

은행부터 저축은행, 캐피탈에 이르기까지 해킹 공격이 확산하면서 금융당국이 전 금융권을 긴급소집한다. 아직 피해 사례가 확인되지 않은 금융투자·보험업권까지 소집해 추가 피해를 막기 위한 대응 방안을 논의할 전망이다. 3일 금융권에 따르면 금융위원회는 4일 오후 2시 이억원 금융위원장 주재로 전 금융권 회의를 열고 이찬진 금융감독원장도 참석한다. 해킹 피해가 잇따르자 오는 7일 열릴 예정이던 회의를 앞당긴 것이다. 은행과 금융투자, 보험, 카드와 캐피탈, 저축은행, 상호금융, 가상자산, 핀테크 업권 협회장 등이 참석할 예정이다. 최근 사고가 발생한 금융회사들은 최고경영자(CEO)급 인사가 참석하고, 해킹피해를 입은 KB국민은행·신한은행·하나은행·부산은행 등 4개 은행장들도 참석할 예정이다. 이번 회의는 최근 잇따른 정보 유출 사고의 현황을 공유하고 유사한 공격에 대비하기 위한 차원이다. 금융당국은 각 금융회사에 전산시스템의 취약점을 점검하고 보안상 주의사항을 당부할 방침이다. 최근 해킹 피해는 은행권을 넘어 제2금융권으로 번지고 있다.

국내 은행을 겨냥한 연쇄 사이버 공격으로 고객 정보가 잇따라 유출되면서 금융권 전반에 보안 비상이 걸렸다. 신한은행과 KB국민은행에 이어 하나은행과 부산은행에서도 정보 유출 사고가 확인됐다. 금융당국은 긴급 상황대응 회의를 열고 전체 금융권을 대상으로 전산시스템 점검에 나섰다. 인공지능(AI) 에이전트를 활용한 공격 가능성까지 제기되면서 금융회사의 보안 사각지대와 대응 체계를 둘러싼 우려도 커지고 있다. 3일 금융권에 따르면 신한은행에서 약 2만5000명의 고객 정보가 유출된 데 이어 KB국민은행에서도 고객 119명의 개인신용정보가 외부로 유출됐다. 하나은행에서도 고객 89명의 개인정보가 유출됐으며, 부산은행에서는 외주 개발 직원 11명의 개인정보가 노출된 것으로 확인됐다. 이번 해킹은 고객이 사용하는 금융거래 시스템이 아닌 별도의 업무지원 시스템과 서비스에서 발생했다는 공통점이 있다. 신한은행에서는 대출모집인이 고객의 대출 현황을 조회할 때 이용하는 'M신한' 모바일 홈페이지가 공격을 받았다.