잇따른 해킹 사고에 보안 우려 확산…증권사 외부 AI 연결 따른 정보 유출 방지·보안관리 중요성 부각
금융투자업계까지 해킹 사고가 번지면서 개인투자자들 사이에서도 투자정보 보호에 대한 우려가 커지고 있다. 업체들도 보안 강화에 힘쓰고 있지만 언제 어디서 보안 사고가 발생할지 모르는 상황이다. 이런 가운데 최근 증권사들이 외부 AI(인공지능)를 활용할 수 있도록 규제가 완화되면서 새로운 서비스의 편리함만큼이나 고객정보를 얼마나 안전하게 지킬 수 있을지가 관건으로 떠올랐다.
29일 금융투자업계에 따르면 전날 대신증권과 미래에셋자산운용, 가상자산거래소 빗썸 등의 해킹 사고가 잇따라 확인됐다. 대신증권은 고객 3만8490명의 개인·신용정보가 유출됐고, 미래에셋자산운용은 일반 업무 관련 정보가 유출됐다. 빗썸도 임직원 정보 유출 정황이 확인됐다.
이날에는 가상자산거래소 프라뱅에서 해킹으로 약 1억원의 자산 피해가 발생한 사실이 알려졌다. 프라뱅은 지난 24일 인터넷에 연결된 가상자산 지갑에서 비정상적인 출금을 감지한 뒤 서비스를 잠정 중단했다. 피해 자산은 회사 자산으로 전액 보전할 방침이다. 잇따른 침해사고에 실제 금전 피해까지 확인되면서 투자자들의 불안도 커지고 있다.
이런 상황에서 금융당국이 최근 허용한 외부 AI 연계 서비스도 정보 유출 위험과 보안 관리의 실효성을 면밀히 따져봐야 한다는 지적이 나온다. 금융위원회는 지난 7일 혁신금융서비스 24건을 새로 지정했는데 이 가운데 21건(87.5%)이 외부 생성형 AI를 활용하는 서비스다. 해당 서비스를 지정받은 14개 업체에는 키움증권, 한국투자증권, 토스증권, 한화투자증권, 현대차증권, 카카오페이증권 등 증권사 6곳이 포함됐다.
그동안 금융회사는 해킹 등을 막기 위해 내부 업무 시스템과 외부 인터넷의 연결을 엄격하게 제한해 왔다. 이번 특례는 이 제한에 예외를 둬 외부 AI 서비스를 업무에 활용할 수 있도록 한 것이다. 내부 시스템을 외부에 전면 개방하거나 고객정보를 자유롭게 넘겨도 된다는 의미는 아니다.
외부 AI를 활용하면 증권사는 고객 문의에 더 빠르게 답하거나 금융정보를 쉽게 설명하는 등 서비스를 개선할 수 있다. 다만 이번에 지정된 서비스에는 임직원 업무용도 포함돼 있으며 모두 실제 출시된 것도 아니다.
개인투자자에게 중요한 것은 AI가 어떤 정보를 이용하느냐다. AI가 일반적인 주식시장 정보를 설명하는 것과 고객의 실제 투자 내역을 분석하는 것은 다르다. 후자라면 개인정보가 외부 AI에 전달되는지, 전달된다면 어떻게 보호되는지 철저히 관리해야 한다. 외부 AI 연결이 곧 정보 유출을 뜻하지는 않지만 새로운 정보 처리 과정에서 생길 수 있는 위험에 대비한 보안 관리가 필요하다.
AI가 외부 자료에 숨겨진 악성 지시를 따르도록 유도하는 공격도 주의해야 한다. 예를 들어 증권사의 AI가 기업 공시나 인터넷 자료를 분석할 때 자료에 심어진 악성 지시를 정상적인 명령으로 잘못 받아들일 수 있다. 이를 '프롬프트 인젝션(명령어 주입 공격)'이라고 한다. AI가 고객정보를 조회하고 외부로 전송할 권한까지 갖고 있다면 정보 유출로 이어질 수도 있다. 외부 자료에 담긴 지시를 AI가 임의로 실행하지 못하도록 하고 고객정보 접근 권한을 필요한 범위로 제한하는 것이 중요한 이유다.
독자들의 PICK
지금 3,496명 읽는 중
금융당국도 이런 위험을 고려해 안전장치를 마련하고 있다. 금융위는 생성형 AI 활용을 위한 규제 특례를 허용할 때 기존 보안 규제를 대신할 엄격한 통제 수단을 지키도록 조건을 붙이고 있다고 밝혔다.
최근 해킹 사고와 외부 AI 연계 서비스의 직접적인 관련성은 확인되지 않았다. 다만 증권사들이 외부 AI 활용을 늘리는 과정에서 고객정보의 외부 전송과 시스템 접근 권한을 얼마나 철저히 통제하고 있는지 점검할 필요성은 커졌다.
금융투자업계 관계자는 "개인투자자가 자신의 정보가 AI에 어떻게 활용되는지 쉽게 확인할 수 있도록 안내하는 것도 과제"라며 "증권사들이 AI로 투자 편의를 높이는 동시에 고객정보 보호에 대한 신뢰를 확보하는 것이 매우 중요해지고 있다"고 말했다.
