AI 해킹 대비책 수개월간 쏟아냈는데⋯잇따라 뚫린 보안망

침해사고 2주 전 구체적 공격 사례 공유
최근 사고 발생 금융사 5곳 관계자 참석
금융당국, 4월부터 해킹 대응 지속 강조

▲최근 금융권 해킹 사고가 발생한 가운데 5일 서울 시내 한 건물 내에 설치된 은행 ATM기. (연합뉴스)

금융당국과 금융보안원이 올해 들어 AI를 악용한 사이버 공격에 대비해 전문인력 양성, 전담조직 신설, 취약점 점검 등 대응책을 잇달아 추진했지만 금융권의 연쇄 해킹 사고를 막지 못한 것으로 나타났다. 사고 발생 약 2주 전에는 실제 금융사를 겨냥한 AI 공격 사례와 대응 방안까지 공유됐지만, 관련 교육에 참석한 금융사에서도 침해사고가 발생하면서 사전 예방조치의 실효성에 의문이 제기된다.

11일 국회 정무위원회 소속 한창민 사회민주당 의원이 금융보안원에서 제출받은 자료에 따르면 금융보안원은 지난달 17일 ‘금융 AI 보안 위협 대응 세미나’를 개최했다. 금융회사 보안 담당자 약 160명이 참석한 이 세미나에서는 국내 금융회사 A사를 겨냥한 AI 에이전트 공격 사례를 설명했다..

AI 에이전트의 구체적인 공격 사례가 공유된 지 약 2주 만에 금융권에서 연쇄 침해사고가 발생했다는 점이 주목된다. 해당 세미나에는 최근 침해사고가 발생한 금융회사 7곳 중 BNK부산은행과 예가람저축은행을 제외한 5곳의 관계자가 참석했다. KB국민은행과 하나은행, 현대캐피탈, 웰컴저축은행 등이 참석했으며 신한은행은 신한금융지주 소속 담당자가 자리했다.

금융당국은 이번 사고에 앞서 수개월간 AI 해킹 예방과 대응을 주문했다. 금융보안원은 4월 금융회사 임직원을 대상으로 AI 악용 해킹에 대비한 보안 전문가 양성과정을 개설했다. 금융위원회는 5월 고성능 AI를 활용한 사이버 공격 위험과 대응 방안을 논의했고, 금융보안원은 6월 AI 해킹 공격 대응을 위한 ‘금융AI보안연구소’를 신설했다.

이후 7월 금융위가 AI 보안 위협 대응요령을 배포한 데 이어 8월에는 금융보안원이 AI 기반 해킹 방어훈련 계획을 발표했다. 9월에는 AI를 활용한 보안 테스트 결과를 공개하며 외부에 노출된 정보기술(IT) 자산 관리를 강화해야 한다고 짚었다. 같은 달 16일 금융위는 업권별 보안 대응체계를 점검하는 회의도 열었다.

이처럼 금융당국과 금융보안원이 인력 양성부터 전담조직 구축, 취약점 진단, 공격 사례 공유에 이르기까지 다양한 예방조치를 시행했지만, 실제 금융회사의 보안체계 개선으로 연결되지 못했다는 비판의 목소리가 불거진다. 특히 지난달 금융보안원 세미나에서 외부 노출 시스템의 취약점을 상시 점검해야 한다고 강조한 것으로 전해지만, 대출모집인 조회 서비스와 직원용 모바일 업무지원시스템 등 외부 접점이 있는 업무시스템이 이번 사고의 주요 표적이 됐다.

금융권 안팎에서는 당국의 사전 경고에도 금융사가 취약점을 보완하지 않았는지 여부에 관심이 모인다. 일각에서는 금융당국이 여러 차례 예방조치 등을 마련했지만 금융사들의 실질적인 개선을 이끌어내지 못했다는 점에서 당국의 감독 기능이 실질적으로 작동했는지에 대한 검증이 필요하다는 지적도 나오고 있다.