금융사 16곳 해킹 피해·개인정보 10만건 유출…보안관리 강화

신한·국민·부산·하나은행 등 16곳 침해사고 확인…추가 피해 조사
금융사 555곳 중 130곳 보안 미흡…CEO 책임·보안점검 강화 추진

▲금융위원회

최근 금융권에서 잇따라 발생한 해킹 사고로 금융회사 16곳에서 침해사고가 확인됐다. 현재까지 파악된 개인정보 유출 규모는 약 10만건이다. 금융당국은 금융회사 최고경영자(CEO)의 보안관리 책임을 강화하고 대형 금융회사의 보안 취약점 점검 횟수를 연 2회 이상으로 확대하기로 했다.

금융위원회는 14일 신진창 사무처장 주재로 금융감독원, 금융보안원 등 관계기관과 함께 ‘제2차 긴급 상황대응 회의’를 열고 금융권 침해사고 조사 경과와 보안관리체계 강화 방안을 논의했다고 밝혔다.

금융위에 따르면 신한은행 침해사고 전후로 침해사고가 확인된 금융회사는 총 16곳이다. 은행권에서는 신한·국민·부산·하나은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳이 포함됐다.

여신전문금융회사에서는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업에서는 PFCT와 모우다가 피해를 입었다. 이 밖에 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅, 새마을금고중앙회에서도 침해사고가 확인됐다.

현재까지 확인된 개인정보 유출 규모는 약 10만건이다. 성명과 연락처, 주민등록번호, 이메일 등이 유출됐으며 계좌 비밀번호나 카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다.

금융당국은 추가 피해 금융회사가 확인될 가능성도 있다고 보고 있다. 현재 침해 경로와 공격 방식, 동일 해킹 조직의 소행 여부 및 AI를 활용한 공격 가능성 등을 조사하고 있다.

금융권 전반의 보안관리 실태에서도 취약점이 드러났다. 금융당국이 이달 8일까지 금융회사 555곳을 대상으로 12개 항목의 보안점검을 실시한 결과 130곳(23.4%)에서 미흡사항이 확인됐다. 특히 전자금융업과 온라인투자연계금융업에서 상대적으로 많은 취약점이 발견됐다.

주요 미흡사항은 최신 보안패치 미적용, 제조사 기술지원이 종료된 시스템의 관리 부실, 24시간 보안관제체계 미구축 등이다. 금융당국은 해당 금융회사에 보안패치 적용과 노후장비 교체, 접근통제 강화 등 즉각적인 보완조치를 지도하고 있다.

금융위는 대형 금융회사부터 보안 취약점 점검·평가 주기를 현행 연 1회에서 연 2회 이상으로 확대할 방침이다. 외부 접속 경로와 인증체계, 내부통제 등 보안관리 전반에 대한 전수점검도 추진한다.

금융회사가 자체적으로 파악한 해킹 위협정보를 금융권 전체에 공유하고 AI 기반 취약점 점검 인프라도 구축할 계획이다. 중소형 금융회사를 대상으로는 AI 기반 공동 보안관제시스템 구축을 검토한다.

아울러 CEO와 이사회의 보안관리 책임을 강화하고 제재의 실효성을 높이는 제도개선도 추진하기로 했다.

신 사무처장은 “수차례 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분”이라며 “AI 공격은 AI로 방어하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 속도감 있게 추진하겠다”고 말했다.