금융권 580개사 보안 전수점검…취약점 방치 땐 이행강제금 추진

금융권 보안체계 혁신방안 발표…대형사 정기 보안점검 연 2회로
AI ‘피싱지수’ 도입…보이스피싱 무과실 배상 법제화 추진
망분리 전면해제 논의…가상자산·보험대리점 보안규율 강화

(출처=금융위원회)

금융당국이 잇따르는 해킹 사고에 대응해 금융권 약 580개사의 보안체계를 전수점검한다. 고객정보 유출이나 금전피해로 이어질 수 있는 취약점이 발견되면 즉시 서비스를 중단하도록 하고, 시정명령을 이행하지 않는 금융회사에는 이행강제금을 부과하는 방안도 추진한다.

금융위원회는 5일 금융보안원 여의도 분원에서 이억원 위원장 주재로 ‘AI시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 이 같은 방안을 발표했다.

금융위에 따르면 9월 30일부터 이달 3일까지 금융회사 37곳에서 총 40건의 침해사고가 신고됐다. 유출정보는 약 47만3000건으로 임직원 정보와 고객 성명·주민등록번호·계좌번호가 주를 이뤘다. 계좌 비밀번호처럼 부정결제 우려가 있는 정보의 유출은 아직 확인되지 않았다.

일부 소규모 가상자산거래소·전자금융업자·온라인투자연계금융업자에서는 회사가 관리하는 자금 약 10억원이 탈취됐다. 가상자산 핫월렛과 소비성 포인트, 온투업 예치금 계정에서 자금이 빠져나갔으며 개별 이용자의 자금손실은 아직 현실화하지 않은 것으로 파악됐다.

당국은 은행·보험·증권부터 가상자산사업자까지 약 580개사의 외부접점과 내부통제 운영실태를 점검한다. 홈페이지뿐 아니라 직원관리·내부업무·제휴업무와 개발·테스트용 시스템까지 외부에서 접근할 수 있는 모든 업무영역이 대상이다. 관리대장에 등록된 시스템은 이달 말까지, 미등록 시스템과 내부통제체계는 연말까지 점검을 마칠 계획이다.

금융회사가 자체점검을 먼저 실시하되 내용이 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 현장점검에 나선다. 개인정보 유출이나 금전피해와 직결되는 취약점은 보완 전까지 해당 서비스를 중단해야 한다. 즉시 보완이 어렵고 중요한 서비스인 경우에만 대체통제 수단을 갖추고 최고경영자(CEO)의 승인을 받아 재개할 수 있다.

점검에서 드러난 관리 부실은 즉각적인 보완을 전제로 유연하게 처리하되, 이후 발생하는 사고에는 점검의 적정성까지 따져 엄정히 책임을 묻는다.

정기 보안점검도 강화한다. 총자산 2조원 이상이면서 종업원 300명 이상인 대형 금융회사부터 취약점 분석·평가를 연 1회 이상에서 2회 이상으로 늘린다. 중요한 취약점을 장기간 방치하면 시정명령을 내리고 미이행 시 이행강제금을 부과하도록 전자금융거래법 개정도 추진한다.

보이스피싱에 따른 2차 피해를 막기 위해 이달부터 AI 기반 ‘피싱지수’를 시범 도입한다. 금융회사가 의심거래를 보이스피싱 정보공유·분석 플랫폼(ASAP)에 조회하면 AI가 범죄 연루 가능성을 0~100점으로 제시한다. 다크웹과 텔레그램에서 탈취정보가 유통되는지도 상시 감시한다.

금융회사에 과실이 없어도 보이스피싱 피해금의 일정 부분을 보상하도록 법제화도 추진한다. 보상대상·한도·면책범위는 하위규정으로 구체화하고, 통신사에 책임을 부여하는 방안도 관계부처와 논의한다.

이달에는 ‘망분리 규제 전면해제 태스크포스(TF)’를 가동해 내년 1분기까지 대체 보안체계와 단계적 규제 해제 방안을 마련한다. 가상자산사업자와 보험대리점(GA)에 전자금융거래법 수준의 보안규율을 적용하는 ‘디지털금융 안전법’ 마련도 추진한다.

이 위원장은 “고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것”이라며 전 금융권 CEO에게 전사적인 비상대응반 구성과 보안체계 강화를 당부했다.