머니투데이

LG유플러스와 티빙(TVING), 강남언니, 듀오, 배달의 민족, 토스페이먼츠 등 고객 개인정보 유출 사고가 발생한 통신사·OTT(온라인 동영상서비스), 플랫폼 업체가 다시 한 번 사과의 뜻을 밝혔다. 이들 회사 관계자들은 개인정보 유출 경위와 조사 은폐 의혹 등에 대한 국회 질의에 대해 잇따라 사과하면서도 추가 피해보상 대책에 대해선 구체적인 입장을 밝히지 않았다. 6일 서울 여의도 국회에서 진행된 과학기술정보방송통신위원회 국정감사 오후 질의에선 최근 발생한 고객 개인정보 유출 사고 기업 관계자들을 상대로 한 질의가 진행됐다. 이정헌 더불어민주당 의원은 △최주희 티빙 대표 △김정훈 우아한형제들 CISO(최고정보보호책임자) △ 임한욱 토스페이먼츠 대표 △홍승일 힐링페이퍼(강남언니) 대표 △박수경 듀오 대표를 앞으로 불러냈다. 이 의원은 티빙 계정 유출 사고와 배달의민족 고객정보 유출, 토스페이먼츠 이상징후 감지 실패, 강남언니 이용자 민감정보 유출, 듀오 회원 프로필 유출 문제를 각각 물었다.

국내 10대 증권사의 정보보호 인력은 2024년 말 125명에서 올해 상반기 131명으로 1년 새 6명 늘어나는 데 그친 것으로 확인됐다. 증권사 한 곳당 평균 13명이며 IT(정보기술) 인력에서 차지하는 비중은 9. 78%로 6년째 9%대에 머물렀다. 최근 외부 해킹 세력이 국내 증권사들의 보안 취약점을 훑은 사실까지 파악됐다. AI(인공지능)를 활용한 해킹으로 대형은행의 보안벽마저 뚫린 가운데 증권사도 보안 인력부터 확충해야 한다는 지적이 나온다. 6일 금융감독원이 국회 정무위원회 소속 박홍배 더불어민주당 의원실에 제출한 자료에 따르면 증권사에서 IT 업무를 하는 임직원은 2021년 1059명에서 올 상반기 1340명으로 281명 늘었다. 이 가운데 정보보호 담당 인력은 99명에서 131명으로 32명 증가했다. 증권사별로 보면 정보보호 인력을 늘린 곳과 줄인 곳이 갈렸다. 미래에셋증권은 2021년 19명에서 올 상반기 25명으로 6명(31. 6%) 늘었고 NH투자증권은 16명에서 22명으로 6명(37.

이주희 더불어민주당 의원이 AI(인공지능)을 활용한 사이버 공격에 대응하기 위한 정부의 상시 취약점 점검 체계를 확대해야 한다고 촉구했다. 이 의원은 6일 국회 과학기술정보방송통신위원회의 과학기술정보통신부 국정감사에서 배경훈 부총리 겸 과학기술정보통신부 장관을 상대로 한 질의에서 과기정통부와 한국인터넷진흥원(KISA)이 지난 5월 말부터 오픈AI의 정부형 신뢰 기반 접근 프로그램에 참여해 AI 기반 취약점 점검을 진행하고 있다고 밝혔다. 이 의원에 따르면 올해 KISA에 신설된 취약점관리센터가 민간 주요 정보통신기반시설, 상용 소프트웨어, 오픈소스 등 3개 분야를 점검한 결과 지난 6월2일부터 9월25일까지 약 3개월간 취약점 523개가 발견됐다. 이에 대해 이 의원은 "상당히 놀라운 숫자"라며 "그만큼 취약점 점검이 계속 필요하다는 상황으로 읽힌다"고 말했다. 이 의원은 최근 금융권을 비롯한 주요 기업의 개인정보 유출 사고와 관련해 "기업 자체 점검만으로는 프론티어 AI급 수준의 AI에 의한 해킹 공격을 막기가 어렵다는 것이 계속 확인되고 있다"며 "정부가 고성능 AI로 직접 상시 점검하는 범위를 계속 넓혀 가야 한다"고 말했다.

국내 금융사에 대한 대규모 해킹 공격은 정문이 아닌 쪽문, 즉 API(응용프로그램인터페이스)를 노렸다. FDS(이상금융거래탐지시스템)를 깔아두고 경계가 삼엄한 핵심 전산망 대신 대출모집인 등이 이용하는 외곽 시스템의 API를 공격 대상으로 삼은 것이다. 보안업계는 전통적으로 취약한 고리였던 API 공격이 AI 시대에 더욱 늘어날 것으로 보고, 관리되지 않은 IT 자산까지 전방위적인 점검이 필요하다고 지적한다. 6일 보안업계에 따르면 최근 API 공격이 늘면서 관리되지 않은 IT 자산, '섀도 IT'에 대한 관리 필요성이 대두된다. KB국민·신한·하나·BNK부산은행을 비롯해 예가람·웰컴저축은행, 현대캐피탈, PFCT·모우다 등 금융사에서 발생한 해킹 피해의 공통점은 임직원이나 대출모집인이 이용하는 웹페이지 등 상대적으로 관리가 모호한 외곽 시스템의 API를 노렸다는 점이다. 이에 금융권뿐 아니라 해킹 피해를 겪은 이커머스·이통업계도 외부에 노출된 IT 자산을 재점검하고 있다. API 보안의 취약성은 이미 알려졌다.

은행·저축은행·캐피탈 등 주요 금융사에서 해킹 사고가 잇따르면서 증권사도 안전하지 않다는 지적이 나온다. 1년 전에는 사모펀드 운용사가 해킹을 당했고 3년 전에는 증권사 고객정보가 유출돼 투자사기에 이용된 사례가 적발됐다. 이들 사례 역시 외곽 보안 취약지대에서 피해가 발생한 만큼 대책을 마련해야 한다는 목소리가 커진다. 6일 금융당국에 따르면 당국은 증권사로도 해킹 피해 사례가 확대될 수 있다고 보고 상황을 주시하고 있다. 증권사 역시 전 금융권과 마찬가지로 외부 접점과 인증·접근통제 체계를 점검 중이다. 아직 증권사의 해킹 피해 사례는 나타나지 않았다. 금감원 관계자는 "은행이 뚫렸다면 해커가 마음만 먹으면 어디든 다 뚫을 수 있다는 얘기"라며 "추가로 피해가 확산하지 않도록 상황을 예의주시 중"이라고 말했다. 증권사로 해킹 피해가 확대될 경우 금전 피해로 이어질 수 있어 파급력이 더 크다는 평가다. 실제로 지난해 여러 사모펀드 운용사가 해킹 피해를 봤다. 일부 사모운용사가 외주를 준 전산관리업체의 클라우드 서버가 해킹돼 내부 자료가 유출된 것으로 알려졌다.

최근 금융권을 겨냥한 잇단 해킹 공격에 금융당국이 은행과 카드업권의 긴급 보안점검 결과를 받아 후속 점검에 나선다. 은행과 카드업권 40곳 전체가 6일까지 점검 결과를 제출한 가운데 금융당국은 미흡한 사항이 다수 발견되거나 추가 확인이 필요한 경우 현장점검도 검토할 방침이다. 여러 금융회사에서 공통적으로 드러난 취약점은 향후 제도 개선에도 반영한다. 6일 금융당국에 따르면 금융감독원은 이날까지 제출 대상이었던 은행 20곳과 카드업권 20곳 등 총 40곳의 긴급 보안점검 결과를 모두 수신했다. 증권사와 보험사, 저축은행, 전자금융업자 등 나머지 금융회사는 오는 8일까지 점검 결과를 제출할 예정이다. 이번 점검은 금융당국이 최근 금융권 침해사고 이후 배포한 12개 항목의 체크리스트를 토대로 진행됐다. 당국은 지난 2일 약 500개 금융사에 △공격 IP 차단 여부 △관련 피해 조사 여부 △외부노출 IT 자산·서비스 식별 및 보안 강화 여부 등 12개 항목을 담은 긴급점검 체크리스트를 공유했다. 각 금융회사는 보유한 서버와 전산자원 전반을 대상으로 항목별 점검을 실시했다.