대고객 서비스 보안 집중한 은행권⋯해킹 통로는 ‘사각지대’ [AI 보안 경고]

은행권 인증 35건 불과⋯뱅킹·금고 위주
국민·하나은행은 내부 시스템 해킹서 유출
“대내외 시스템 대상 실시간·동적 대응 필요”

(그래픽=김소영 기자김)

최근 은행권에서 AI 해킹 사고가 잇따른 가운데 실제 공격을 받은 일부 업무시스템이 정보보호 관리체계(ISMS)·정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 범위에서 빠져 있었던 것으로 나타났다. 국내은행이 현재 유지 중인 관련 인증은 35건에 달하지만 인터넷·모바일뱅킹과 전산센터 등 주요 서비스에 인증이 집중되면서 외부와 접점이 있는 내부 업무지원 시스템이 인증 사각지대에 놓였단 지적이 나온다.

7일 본지가 ISMS-P 누리집의 국내은행 인증현황을 전수 분석한 결과 시중은행·지방은행·특수은행·인터넷전문은행 등 국내은행 20곳 가운데 15곳이 현재 유지 중인 ISMS·ISMS-P 인증은 총 35건으로 집계됐다. KDB산업은행·한국수출입은행·Sh수협은행·SC제일은행·한국씨티은행 등 5개 은행은 관련 인증을 1건도 취득하지 않았다.

인증 범위는 인터넷·모바일뱅킹과 전산센터, 금고시스템 등 주요 금융서비스와 인프라가 중심이었다. 마이데이터와 알뜰폰(MVNO), 모바일 신분증, 전자서명·본인확인 등 신규 디지털 서비스 등도 인증을 받은 곳이 다수였다. 반면 최근 공격 대상이 된 임직원용 업무지원시스템 등에 대한 인증을 받은 곳은 없었다.

5대 은행 가운데 KB국민은행은 인터넷뱅킹과 IT전산센터·금고시스템, 알뜰폰, 모바일 신분증 등에 대해 인증을 유지하고 있다. 신한은행은 인터넷뱅킹과 금고시스템·신한금융그룹 전산센터, 하나은행은 인터넷뱅킹과 통합금고시스템·마이데이터·본인확인, 우리은행은 인터넷뱅킹과 금고관리시스템·알뜰폰, NH농협은행은 인터넷뱅킹과 금고시스템·IT센터·마이데이터·모바일 신분증 등이 인증 범위다.

주요 은행에서 최근 정보유출 사고가 발생한 일부 시스템이 인증 범위에서 제외됐다는 점에서 상대적으로 취약한 지점이 실제 공격 경로가 됐다는 분석이 나온다. KB국민은행에서는 직원용 모바일 업무지원시스템에 외부 침해가 발생하면서 고객 119명의 개인정보가 유출됐다. 국민은행 관계자는 “해당 시스템은 내부 업무지원시스템으로 (ISMS·ISMS-P) 인증 범위에 포함되지 않았다”고 설명했다.

하나은행 역시 정보유출이 발생한 영업지원시스템(ODS)이 현재 유지 중인 ISMS·ISMS-P 인증 범위에 명기되지 않았다. ODS는 직원이 영업점 밖에서 전자서식을 작성하면 영업점 스마트창구와 실시간으로 연계되는 임직원용 시스템이다. 공격 대상은 외부 인터넷과 내부망 사이에 위치하는 ‘DMZ 구간 시스템’으로 분류된다.

다만 신한은행의 경우 인증 범위 내일 가능성이 있다. 신한은행에서는 대출모집 관련 서비스를 통한 공격으로 고객 2만5729명의 정보가 유출됐다. 신한은행은 다른 은행과 달리 대출모집인이 모바일 홈페이지에서 접수한 대출 처리 현황을 조회할 수 있는데, ISMS-P 인증 범위에 인터넷뱅킹 서비스가 포함돼 있다. 신한은행 관계자는 “현재까지 파악된 내용으로는 ISMS 인증 범위 내로 판단되지만, 아직 추가 확인이 필요하다”고 설명했다.

이번 사고를 계기로 주요 대고객 서비스뿐 아니라 외부와 접점이 있는 내부 업무시스템까지 현재 보안 인증·점검 체계가 충분히 포괄하고 있는지 점검해야 한다는 지적이 나온다.

임종인 고려대 정보보호대학원 교수는 “내부시스템은 그동안 공격을 받더라도 정보유출 피해가 상대적으로 적다고 여겨졌고 여러 보안 영역 가운데 상대적으로 취약할 수 있다”며 “이번에는 AI가 이런 취약한 지점을 먼저 탐색한 것으로 보인다”고 말했다.

정부도 ISMS·ISMS-P의 인증 범위를 넓히는 방향으로 제도를 손질하고 있다. 개인정보보호위원회와 과학기술정보통신부는 4월 발표한 ISMS·ISMS-P 실효성 강화 방안을 통해 외부 인터넷과 연결돼 침해사고의 통로가 될 수 있는 정보자산을 인증 범위에 포함하는 방안을 추진하고 있다. 다만 보안업계에서는 인증 제도의 실효성에 회의적인 시선을 보내고 있다.

임 교수는 “이제는 사람이 일일이 해킹하는 시대에서 AI 에이전트가 취약점을 탐색하고 공격하는 시대로 넘어가고 있다”며 “보다 실시간적이고 동적인 대응 체계를 갖춰야 한다”고 강조했다.