머니투데이

금융권의 보안을 담당하는 금융보안원이 해킹을 당해 일부 개인정보가 유출됐다. 10일 금융보안원에 따르면 전일 오전 금융보안원 일부 시스템이 해킹을 당해 회원사인 금융회사 직원의 일부 개인정보가 유출됐다. 금융보안원의 핵심 내부망이 아닌, 외부 금융회사와 정보를 주고 받는 연락용 시스템에서 침해 사고가 발생했으며 금융회사 직원들의 마스킹 처리된 성명, 이메일 주소, 전화번호 등이 유출됐다. 다만 주민번호나 신용정보 등의 민감 정보는 해킹되지 않았다. 유출건수는 현재 수백 건 수준인 것으로 확인됐다. 금융보안원 관계자는 "정확한 유출건수는 파악중"이라며 "신용정보법에 따라 회원사들이 지켜야하는 개인정보보호 케이스들을 적어놓은 내용인데 마스킹처리 되지 않은 정보가 있는지 확인하고 있다"고 밝혔다. 정보 유출 범위나 내용이 심각한 수준은 아니지만 금융권 '보안 문지기' 역할을 해 온 금융보안원까지 해킹 사고를 당하면서 금융권의 긴장감도 더 커질 전망이다. 실제로 금융권 침해사고가 확인된 지난 9월 30일 이후 현재까지 총 37개사, 40건의 침해 사고가 신고됐다.

금융상품 설명서에서 소비자 손실로 이어질 수 있는 사례를 다수 찾아낸 인공지능(AI) 서비스가 금융보안원의 '2026 금융 AI 챌린지'에서 대상을 받았다. 금융보안원은 한화손해보험 직원 정진 씨가 1인 팀 '10percent'로 출품한 '모의창구'를 대상 수상작으로 선정했다고 10일 밝혔다. 수상자에게는 금융위원장상과 상금 2000만원이 수여된다. '모의창구'는 고령 투자자 등 AI 가상고객 500명이 출시 전 금융상품 설명서를 읽고 오해할 만한 조항을 약 20분 안에 찾아내는 서비스다. 실제 공시 설명서를 점검한 결과에 따르면 주가연계증권(ELS)의 조기상환 조건을 잘못 이해하는 등 소비자 손실로 이어질 수 있는 사례를 찾아냈다. 금융소비자를 보호할 수 있다는 점에서 높은 평가를 받았다. 최우수상은 대학 졸업생 2명(배소연·이정현)으로 구성된 '소금빵' 팀의 'DarkAudit'에 돌아갔다. AI가 실제 이용자처럼 가입 절차를 따라가며 소비자의 착각이나 실수를 유도하는 '다크패턴'을 찾고, 문제가 있는 화면과 개선안을 제시하는 서비스다.

경찰이 최근 금융권에서 발생한 해킹 사건과 관련해 피해 시스템 분석과 국제공조 수사를 병행하고 있다고 밝혔다. 정부가 신설을 검토 중인 범정부 사이버보안 총괄 기구 '사이버보안 차르'에 대해서는 "필요시 적극 협조하겠다"고 했다. 경찰청 관계자는 9일 서면으로 진행된 기자간담회에서 금융권 해킹 수사 상황에 대해 "관련 자료를 확보했고 피해 시스템 분석 등 면밀한 수사와 함께 공격 서버를 차단하는 등 국제공조 수사를 병행하고 있다"며 "금융보안원 등 관계기관과도 공조 중"이라고 밝혔다. 금융위원회에 따르면 지난 9월30일부터 이달 3일까지 금융권 37개사에서 40건의 침해사고가 신고됐다. 정보 유출 규모는 약 47만3000건으로 집계됐다. 일부 소규모 가상자산사업자와 전자금융업자, 온라인투자연계금융업자(온투업자)에서는 약 10억원의 자금 탈취 피해도 발생했다. 이재명 대통령이 구성을 지시한 범정부 사이버보안 총괄 기구 '사이버보안 차르'와 관련해서는 "현재까지 경찰이 별도로 전달받은 내용은 없다"며 "필요한 사항이 있으면 적극 협조할 것"이라고 말했다.

금융보안원이 의심거래가 보이스피싱일 가능성을 점수로 보여주는 인공지능(AI) 모델을 'ASAP(에이샙)'에 탑재했다. 중소형 금융회사도 자체 시스템을 ASAP에 연동해 의심거래가 실제 보이스피싱일 가능성을 점수로 확인할 수 있게 됐다. 금융보안원이 9일부터 ASAP을 통해 'AI 피싱지수 조회 서비스'를 제공한다. ASAP은 '보이스피싱 정보공유·분석 AI 플랫폼'으로, 지난해 10월 출범했다. 금융회사가 포착한 의심 계좌나 수사기관이 파악한 의심거래 정보 등을 서로 실시간으로 공유하고, 이를 분석해 보이스피싱 거래 패턴을 찾아내는 데 쓰인다. 이번에 추가된 기능으로 금융회사는 개별 의심거래의 위험도를 판단할 수 있다. 금융회사가 자체 시스템에서 응용프로그램 인터페이스(API)를 통해 의심거래를 조회하면 AI가 산출한 피싱지수를 받아볼 수 있다. 담당자는 점수를 확인한 뒤 어떤 요인이 점수를 끌어올렸는지 살펴보고 추가 확인이 필요한 거래를 가려내는 데 참고할 수 있다. 이번 서비스는 카카오뱅크·토스뱅크·케이뱅크가 지난 7월부터 각사의 이상금융거래탐지시스템(FDS)을 통해 공동 개발해 사용해 온 모델과 같다.

당국의 침해예방 대책이 나온 지 사흘이 되지 않아 국내 최대 증권사인 미래에셋증권에서 개인정보 유출(해킹) 사고가 확인되면서 금융권의 우려가 커졌다. 정부가 긴급 전수조사를 진행하고 AI(인공지능) 시대에 걸맞은 새로운 보안체계를 구축하겠다며 대응에 나섰지만 보안업계는 실질적인 조치이행이 이뤄지도록 유인책을 마련해야 한다고 조언했다. 8일 IT(정보기술)업계에 따르면 지난 4~5일 미래에셋증권의 일부 내부시스템이 외부 해킹에 노출돼 고객 3800여명의 계좌번호와 전현직 임직원의 개인정보 3만5000여건이 유출됐다. 이번 사고로 △미래에셋생명 △미래에셋자산운용 △에너지인프라자산운용 등 미래에셋그룹 계열사 총 4곳이 사이버 공격을 받았다. 특히 이번 사고는 잇따른 금융권의 개인정보 유출 사고에 당국이 대책을 내놓는 상황에서 보란 듯이 발생했다. 금융당국은 지난 5일 'AI 시대 보안체계 혁신을 위한 전(全)금융권 간담회'를 개최한 뒤 늘어나는 금융권 사이버 공격에 대한 대책을 발표했다. 당국이 밝힌 금융권의 정보유출 규모는 47만3000여건이고 자금탈취 규모는 10억원 수준이다.

금융투자업계 1위 미래에셋증권에서도 침해사고가 발생한 가운데 금융당국의 제재 수위에 금투업계의 관심이 쏠린다. 금융사지배구조법 개정으로 보안 침해사고에 대한 CEO(최고경영자)의 책임을 물을 법적 근거가 갖춰졌기 때문이다. 관건은 사고 결과가 얼마나 중대한지, CEO가 이를 막기 위해 얼마나 주의의무를 다했는지 여부가 될 전망이다. 8일 금융당국과 금투업계에 따르면 금융당국은 침해사고가 발생한 대신증권, 미래에셋자산운용 등 금투사들에 대한 현장점검에 착수했으며 9일부터 미래에셋증권 현장점검에 나설 것으로 알려졌다. 침해사고가 발생하면 금융감독원의 IT(정보기술) 검사국과 각 사 담당 검사국에서 함께 현장점검을 하고 법규정 위반 정황이 있으면 검사로 전환해 추가 조사를 이어간다. 이번 해킹 침해사고의 경우 통상적인 MTS(모바일트레이딩시스템) 전산장애 사고와 달리 CEO 책임까지 물을 수 있다는 관측이 나온다. 특히 대신증권, 한양증권, 미래에셋증권 등 금투사들의 침해사고는 신한은행 침해사고가 확인된 9월30일 이후 최소 몇 주 간격을 두고 발생했다.