금융권 37곳 침해사고 40건…정보 47만3000건 유출

금융권 37개사에서 침해사고 40건이 신고돼 임직원과 고객 정보 약 47만3000건이 유출됐다.

일부 소규모 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 회사가 관리하던 자금 약 10억원의 탈취도 신고됐다. 이 금액은 세 업권의 신고액을 합한 것으로, 가상자산거래소만의 탈취액은 아니다.

금융위원회는 5일 보도자료에서 금융권 보안체계 혁신방안을 발표했다. 사고 집계 기간은 9월 30일부터 11월 3일까지다.

업권별 사고 회사는 △전자금융업자 10곳 △금융투자회사와 저축은행 각 5곳 △은행과 온라인투자연계금융업자 각 4곳 △보험사와 가상자산사업자 각 3곳 △여신전문금융회사 2곳 △상호금융회사 1곳이다.

유출 정보에는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐다. 계좌 비밀번호처럼 부정결제로 이어질 수 있는 정보의 유출은 파악되지 않았다. 약 47만3000건은 정보 건수로, 피해 이용자 수를 뜻하지 않으며 개별 이용자의 직접적인 금전 피해도 아직 확인되지 않았다.

탈취된 자금은 가상자산 핫월렛과 소비성 포인트, 고객자금을 통합 관리하는 계정 등에서 이체됐다.

금융위는 앞서 10월 14일 신한은행 침해사고 전후 금융회사 16곳에서 사고를 확인하고 약 10만건의 정보 유출을 집계했다. 당시 금융권 사고 현황을 다룬 본지 보도에는 가상자산사업자 스트리미와 프라뱅도 포함됐다.

금융당국은 최근 침해사고가 핵심 전산시스템보다 보안 관리가 상대적으로 취약한 주변부 시스템에 집중됐다고 분석했다. 직원들이 영업·상담 업무에 사용하는 웹·모바일 서비스 등 외부 연결 시스템도 주요 공격 대상이 됐다.

접근 권한 관리 부실과 이중인증 우회, 응용프로그램 인터페이스(API) 관리 미흡도 주요 취약점으로 지목됐다. 금융보안원이 하루 평균 탐지하는 침해공격 의심 트래픽은 10만~15만건이며, 지난달 14일 금융권 보안 체크리스트 점검이 끝난 뒤에도 중소형 금융회사를 중심으로 신고가 이어졌다.

금융당국은 은행·증권사·보험사와 전자금융업자, 가상자산사업자 등 약 580개사를 대상으로 연말까지 전수점검을 진행한다. 홈페이지와 직원관리·내부업무·제휴업무 시스템, API, 개발·시험용 시스템 등 외부와 연결된 IT 자산을 살핀다.

점검에서는 최고경영자(CEO)와 정보보호최고책임자(CISO)의 역할, 보안 관련 의사결정 체계 등 내부통제 운영 실태도 확인한다. 이억원(Lee Eog-weon) 금융위원회 위원장은 “고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것”이라고 말했다. 그는 보안이 특정 부서의 기술 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제라고 강조했다.

금융회사는 금전 피해나 개인정보 유출로 이어질 수 있는 중대한 취약점을 찾으면 서비스를 중단하거나 외부 접근을 차단해야 한다. 금융감독원과 금융보안원은 점검이 부실하거나 중대한 취약점이 확인된 회사를 대상으로 현장점검에 나설 계획이다.

관리대장에 등록된 외부 연결 시스템은 11월 30일까지 점검한다. 미등록 시스템과 내부통제체계 점검은 12월 31일까지 마무리하고, 점검 결과를 반영한 보안 내부통제 가이드라인은 내년 1분기 마련할 예정이다.

당국은 대형 금융회사부터 외부기관 취약점 분석·평가를 연 2회 이상으로 늘리고, 2028년부터 중소형사를 포함한 전 금융권에 적용할 계획이다. 중대한 취약점을 장기간 방치한 회사에 시정명령을 내리고 불이행 시 이행강제금을 부과할 수 있도록 법 개정도 추진한다.

대형 금융회사가 탐지한 공격자 IP 주소와 악성코드, 해킹 수법을 금융감독원 통합관제시스템으로 공유하는 체계는 다음 달 시범 운영하고 내년 1분기 전면 운영할 예정이다. 금융위는 가상자산거래소 등이 침해사고를 한국인터넷진흥원뿐 아니라 금융감독원과 금융보안원에도 즉시 알리도록 하는 지침을 이달 마련하겠다고 밝혔다.

당국은 가상자산사업자와 보험대리점(GA)까지 보안규율 적용 범위를 넓히는 ‘디지털금융 안전법’ 법안을 내년 1분기 마련할 계획이다. 금융회사와 연결된 클라우드 사업자와 플랫폼 등 외부 사업자에 대한 보안규율도 검토한다.

다크웹과 텔레그램 등에서 유출 개인정보의 불법 유통을 상시 감시하고, 인공지능(AI)으로 보이스피싱 의심 거래를 분석하는 ‘피싱지수’를 이달 시범 도입한다. 금융회사가 보이스피싱 피해액 일부를 배상하도록 하는 무과실책임 법제화도 추진하며, 망분리 규제와 AI 기반 보안기술·제로트러스트 등 대체 수단을 검토할 태스크포스(TF)를 가동할 방침이다.