[시론] 금융의 ‘사이버 스트레스’ 대응 강화를

최근 국내 금융회사에서 해킹과 개인정보 유출 사고가 잇따르면서 금융보안에 대한 우려가 커지고 있다. 금융당국에 따르면 침해사고가 확인된 금융회사는 16곳, 유출된 개인정보는 약 10만 건에 이른다. 특히 AI를 활용한 해킹 가능성이 제기되면서 사이버 공격의 새로운 양상에 관심이 집중되고 있다. 이번 사태는 AI가 사이버 위험의 성격을 어떻게 바꾸고 있으며, 금융권의 위험관리체계는 제대로 대응하고 있는지 묻고 있다.

금융산업은 AI 활용에 적극적인 분야 중 하나다. 최근에는 AI가 스스로 판단하고 업무를 수행하는 에이전트형 AI 도입도 모색하고 있다. AI의 활용 범위가 확대될수록 업무 효율은 높아지지만, 새로운 보안 취약점과 위험관리 과제도 함께 늘어난다.

해킹 공격 빈번 … 복원력 확보 시급

AI가 가져오는 중요한 변화는 위험의 발생 속도와 규모가 달라진다는 점이다. AI는 취약점 탐색과 공격 실행을 자동화해 해킹에 필요한 전문지식과 시간, 비용을 크게 줄일 수 있다. 공격자가 취약점을 발견하고 악용하는 속도가 빨라질수록 금융회사가 대응할 수 있는 시간은 짧아진다. 반면 AI는 이상거래 탐지와 보안 취약점 분석 등 방어에도 활용할 수 있어 공격과 방어 양측의 대응 역량이 더욱 중요해지고 있다.

더 주목해야 할 것은 사이버 사고의 영향이 금융회사 내부에 머물지 않는다는 점이다. 개인정보 유출은 금융소비자의 피해로 이어질 수 있고, 금융서비스 중단은 거래 불편과 금융회사에 대한 신뢰 훼손을 초래할 수 있다. 특히 여러 금융회사가 동일한 AI 모델이나 클라우드 서비스에 의존하는 상황에서 특정 서비스의 장애나 보안 취약점은 다수 금융회사로 확산될 수 있다. 지급결제 기능의 중단이 장기화되면 기업활동과 실물경제에도 영향을 미칠 수 있다. 금융권의 상호연결성을 고려한 사이버 복원력 확보가 필요한 이유다.

이러한 변화에 대응하려면 무엇보다 철저한 사전 예방과 방어가 기본이 되어야 한다. 금융당국이 555개 금융회사를 대상으로 실시한 긴급점검에서 130개 회사(약 23%)가 일부 보안관리 미흡 사항을 보고했다. 금융당국도 보안체계 강화 방안을 내놓았지만 중요한 것은 대책의 숫자가 아니라 실제 개선 성과다. 취약점을 얼마나 신속히 제거하는지, 침입을 얼마나 빨리 탐지하고 차단하는지 등을 평가하고 그 결과를 경영진의 책임 있는 개선 조치로 연결해야 한다.

나아가 금융보안 감독은 사고 대응과 복구 능력까지 실질적으로 검증해야 한다. 모든 해킹을 완벽하게 차단하기는 어려운 만큼 사전 방어를 강화하는 동시에, 사고 발생 시 피해 확산을 억제하고 핵심 금융기능을 유지·회복하는 능력이 중요하다. 이를 위해 개별 금융회사의 모의해킹을 넘어, 여러 금융회사가 동시에 공격받거나 공통 IT 서비스가 중단되는 상황을 가정한 사이버 스트레스 테스트를 강화할 필요가 있다.

공동 대응 통해 ‘혁신·안정’ 꾀해야

기존 공동 대응체계의 실효성을 높이는 것도 중요하다. 금융당국의 통합관제체계 등을 활용하되, 정보 전달에 그치지 않고 실제 대응조치와 취약점 개선까지 확인해야 한다. 개별 금융회사의 보안은 각자의 책임이지만 금융권의 복원력 확보에는 공동의 노력이 필요하기 때문이다.

금융산업에서 혁신과 안정은 양자택일의 문제가 아니다. AI가 금융의 작동 방식을 바꾸고 있다면 위험관리 방식도 달라져야 한다. 방어를 철저히 하는 데서 나아가, 방어가 뚫리는 상황까지 전제하고 복원력을 설계하는 것이 AI 시대 금융보안의 핵심이다. 그 궁극적 목적은 금융소비자의 재산과 신뢰, 그리고 경제활동을 뒷받침하는 금융시스템의 안정적 기능을 지키는 데 있다.