“금고 빌리려면 어떻게 해야 하죠?” 사업가인 60대 정모씨는 최근 거래 중인 은행에서 해킹 사고가 났다는 소식을 듣고 지점을 찾았습니다. 대여금고 이용 조건을 알아보기 위해서였죠. 보증금과 이용료를 내야 하지만 금고를 빌릴 생각이라고 합니다. “개인정보가 유출됐다는 소식을 들으니 계좌에 있는 돈도 불안해졌다”는 겁니다. 최근 은행과 저축은행, 캐피털사 등에서 잇달아 해킹 사고가 발생하며 디지털 기반 금융 시스템에 대한 경계감이 확산하고 있습니다. 이제 믿을 건 눈에 보이고 손에 잡히는 실물자산밖에 없단 것이죠. 한 시중은행 창구 직원은 8일 “고령층을 중심으로 대여금고 문의가 이어지고 있다”고 전했습니다. 해킹 공격을 당한 한 은행에서는 사고 이후 4영업일 사이 비어 있던 금고 열댓 개에 새 주인이 생겼다고 합니다. 대여금고는 은행 안에 있는 개인용 금고입니다. 일반 고객은 금고 크기에 따라 보증금 5만~50만원과 연간 수수료 2만~5만원을 내고 이용할 수 있습니다. 은행에 따라 VIP 고객에게는 무료로 제공하기도 하죠. 아직 이를 전반적인 이용 증가로 보기는 어렵습니다. 5대 시중은행에서 이용 중인 대여금고는 2023년 말 15만 9144개에서 2024년 말 15만 2602개, 지난해 말 14만 6961개로 줄었습니다. 지난 9월 말에는 14만 4299개까지 감소했습니다. 은행 점포 축소와 금융거래의 디지털화 속에서 줄어들던 금고 수요가 해킹 사고 이후 일부 은행에서 다시 나타난 셈입니다. 불안을 덜려는 움직임은 은행 밖에서도 보입니다. 집에 둘 개인금고를 구매하는 이들이 있는가 하면, 온라인에서는 금융자산 연결 서비스를 해지해 정보 노출을 줄이자는 ‘꿀팁’도 공유됩니다. 고객들이 ‘아날로그’방식에서 안심할 방법을 찾는 가운데, 일부 금융사는 정보를 상당수 수기로 관리한 덕에 해당 정보의 유출 피해를 피한 것으로 전해집니다. 디지털 전환이 느렸던 점이 뜻밖의 방패가 된 셈이죠. 편리함을 앞세웠던 디지털 금융에 이제 고객들은 안전을 묻고 있습니다.

정용채 경북도의원(더불어민주당, 비례)이 날로 고도화되는 전기통신금융사기로부터 도민의 재산을 안전하게 보호하고 체계적인 예방 대책을 구축하고자 ‘경북도 전기통신금융사기 피해 방지 지원 조례 일부개정조례안’을 대표발의했다. 최근 보이스피싱과 스미싱 등 금융사기 수법이 더욱 지능화되면서, 도민들의 재산상 피해를 예방하기 위한 실효성 높은 대책 마련의 필요성이 크게 제기되고 있다. 이에 정 의원은 피해 예방 정책의 추진 동력을 대폭 강화하고 관련 지원 사업의 내실을 기함으로써 도민이 안심할 수 있는 금융 환경을 조성하고자 이번 조례안을 마련했다. 조례안의 주요 내용으로는 ▲상위법 개정에 따른 조례안 정비 ▲‘피해 방지 지원계획’ 수립·시행 규정 신설 ▲실태조사 실시 근거 마련 ▲전기통신금융사기 방지 프로그램 보급 ▲피해자에 대한 법률상담 및 심리상담 연계 지원 등을 명시했다. 정 의원은 “나날이 고도화되는 보이스피싱 수법으로부터 도민의 소중한 재산을 지키기 위해서는 선제적이고 체계적인 방지 대책이 필수적이다”라며, “이번 조례 개정을 통해 예방 정책 수립과 방지 프로그램 보급, 피해자 상담 지원 등 실질적인 지원 체계를 구축하여 도민이 안심할 수 있는 건전한 금융 환경을 조성하는 데 기여하기를 기대한다”고 제정 취지를 밝혔다. 한편, 지난 7일 경북도의회 기획경제위원회 심의를 통과한 이번 조례안은 오는 15일 본회의에서 최종 의결될 예정이다.

인공지능(AI)을 활용한 ‘금융권 연쇄 해킹’ 사고의 여파가 이어지는 가운데 서민금융 정책기관인 서민금융진흥원과 신용회복위원회도 지난 2일 유사한 해킹 공격을 받은 것으로 알려졌다. 이들 기관이 다루는 소득·부채·연체 정보가 유출되면 서민의 절박한 사정을 악용한 맞춤형 금융사기로 이어질 수 있어 보안 강화가 필요하다는 지적이 나온다. 7일 금융당국에 따르면 서금원과 신복위는 지난 2일 두 기관 홈페이지를 겨냥한 해킹 공격 인터넷주소(IP)와 은행권 해킹 공격에 사용된 IP가 동일하다는 점을 발견했다. 공격자는 비대면 상담용 챗봇에 대환대출·정책자금 등 익숙한 단어를 입력하며 취약점을 찾으려 한 것으로 알려졌다. 두 기관이 실시간으로 대응해 초기 단계에서 공격을 차단하면서 정보 유출 등 피해는 없었다. 서금원은 은행 대출이 어려운 저소득·저신용층에 햇살론 등 정책금융을 지원하고, 신복위는 빚을 갚기 어려운 채무자의 상환 부담을 줄이는 채무조정을 돕는 공공기관이다. 은행·저축은행·캐피탈 등에서 개인정보 유출을 일으킨 연쇄 공격이 서민의 재기를 돕는 ‘금융 안전망’까지 향한 것이다. 특히 두 기관은 정책대출과 채무조정 과정에서 신청자의 소득·부채·연체 여부 등을 확인한다. 관련 정보가 유출되면 ‘누가 얼마나 경제적으로 어려운지’까지 드러날 수 있어 개인의 경제적인 사정이 노출될 수 있다. 이런 정보가 유출되면 사기범이 ‘정부 지원 대출을 받을 수 있다’, ‘빚을 줄여 주겠다’며 접근해 급전이나 채무조정이 절실한 사람에게 추가 피해를 줄 가능성도 있다. 황석진 동국대 정보보호대학원 교수는 “단순히 개인 정보 유출을 넘어서 개인의 경제적 취약성을 이용한 맞춤형 보이스피싱으로 악용될 우려도 있다”며 “민간회사는 물론 공공기관에 대한 정보보안 시스템도 다시 점검해야 한다”고 말했다. 공격자가 개인정보를 빼내 거래하려 했을 가능성이 거론되지만 두 공공기관을 겨냥한 구체적인 목적은 확인되지 않았다. 보안업계 관계자는 “AI의 자동화 도구를 이용하면 전방위적으로 탐색한 뒤 취약점이 발견되는 기관부터 공격하는 방식이 가능하다”고 설명했다. 한편, 금융감독원은 AI를 악용한 해킹 공격이 본격화하기 앞서 시중은행 등에 이미 십여 차례 보안 강화를 주문했지만, 실제 피해를 막지는 못한 것으로 나타났다. 손명수 더불어민주당 의원실이 금감원에서 받은 자료에 따르면 금감원은 지난 8~9월 사이버 위협에 대비하라는 취지의 보안 권고문을 총 17차례 배포했다. 금감원은 권고문을 통해 “국가 배후 해킹조직에 의한 외부 노출 정보기술(IT) 자산 등에 대한 침해 시도가 확인됐다”며 금융회사에 보안 조치를 강화할 것을 주문했다. 실제 지난 9월 11일 KDB생명에서도 침해 시도가 발생했지만, 정보 유출로 이어지지는 않았다.

인공지능(AI)을 활용한 ‘금융권 연쇄 해킹’ 사고의 여파가 이어지는 가운데 서민금융 정책기관인 서민금융진흥원과 신용회복위원회도 지난 2일 유사한 해킹 공격을 받은 것으로 알려졌다. 이들 기관이 다루는 소득·부채·연체 정보가 유출되면 서민의 절박한 사정을 악용한 맞춤형 금융사기로 이어질 수 있어 보안 강화가 필요하다는 지적이 나온다. 7일 금융당국에 따르면 서금원과 신복위는 지난 2일 두 기관 홈페이지를 겨냥한 해킹 공격 인터넷주소(IP)와 은행권 해킹 공격에 사용된 IP가 동일하다는 점을 발견했다. 공격자는 비대면 상담용 챗봇에 대환대출·정책자금 등 익숙한 단어를 입력하며 취약점을 찾으려 한 것으로 알려졌다. 두 기관이 실시간으로 대응해 초기 단계에서 공격을 차단하면서 정보 유출 등 피해는 없었다. 서금원은 은행 대출이 어려운 저소득·저신용층에 햇살론 등 정책금융을 지원하고, 신복위는 빚을 갚기 어려운 채무자의 상환 부담을 줄이는 채무조정을 돕는 공공기관이다. 은행·저축은행·캐피탈 등에서 개인정보 유출을 일으킨 연쇄 공격이 서민의 재기를 돕는 ‘금융 안전망’까지 향한 것이다. 특히 두 기관은 정책대출과 채무조정 과정에서 신청자의 소득·부채·연체 여부 등을 확인한다. 관련 정보가 유출되면 ‘누가 얼마나 경제적으로 어려운지’까지 드러날 수 있어 개인의 경제적인 사정이 노출될 수 있다. 이런 정보가 유출되면 사기범이 ‘정부 지원 대출을 받을 수 있다’, ‘빚을 줄여 주겠다’며 접근해 급전이나 채무조정이 절실한 사람에게 추가 피해를 줄 가능성도 있다. 황석진 동국대 정보보호대학원 교수는 “단순히 개인 정보 유출을 넘어서 개인의 경제적 취약성을 이용한 맞춤형 보이스피싱으로 악용될 우려도 있다”며 “민간회사는 물론 공공기관에 대한 정보보안 시스템도 다시 점검해야 한다”고 말했다. 공격자가 개인정보를 빼내 거래하려 했을 가능성이 거론되지만 두 공공기관을 겨냥한 구체적인 목적은 확인되지 않았다. 보안업계 관계자는 “AI의 자동화 도구를 이용하면 전방위적으로 탐색한 뒤 취약점이 발견되는 기관부터 공격하는 방식이 가능하다”고 설명했다. 금융당국은 금융회사들의 긴급점검 결과도 분석하고 있다. 금감원은 전날 은행·카드업권의 결과를 보고받았으며, 나머지 업권은 8일까지 점검을 마쳐야 한다. 현재까지 추가 정보 유출은 확인되지 않았다. 은행권 개인정보 유출 피해자들은 집단소송 준비에 나섰다. 서초동의 한 로펌은 신한은행 피해자를 대상으로 손해배상 집단소송 원고를 모집하고 있다. 네이버에도 ‘신한은행 해킹 피해자 집단소송 카페’가 개설됐다. 운영자는 공지에서 “은행은 피해가 확인되면 전액 보상하겠다고 했지만 무엇을 피해로 볼 건지, 어떻게 신청하는 건지는 아직 아무 말이 없다”며 개설 배경을 밝혔다.

생보 2곳 공격 시도 흔적 확인보험 수탁점검 신청 83% GA업무PG·가맹점 우회공격 위험 경고금융권 연쇄 해킹이 금융사 내부 시스템을 넘어 고객과 금융사를 잇는 외부 접점까지 파고들면서 보험·카드업계도 긴장하고 있다. 보험은 법인보험대리점(GA)과 영업지원업체, 카드는 전자지급결제대행(PG)·밴(VAN)·가맹점 등 소비자 정보가 거치는 금융사 밖 연결망이 상대적으로 취약한 지점으로 꼽힌다. 인공지능(AI)을 활용한 공격 가능성까지 제기되면서 금융사 자체 보안만으로는 소비자 정보를 지키기 어렵다는 우려가 커지고 있다. 7일 금융권에 따르면 교보생명을 포함한 생명보험사 2곳에서는 이번 금융권 해킹에 사용된 것으로 파악된 인터넷주소(IP)의 서버 접근 시도가 확인됐다. 현재까지 실제 침해나 고객정보 유출은 확인되지 않았다. 전업 카드사들도 금융당국 지침에 따라 지난 6일까지 긴급점검을 마쳤으며, 현재까지 고객정보 유출 등 피해 사례는 확인되지 않았다. 공동 보안점검 신청에서도 보험은 GA, 카드·캐피탈은 VAN 업무 비중이 가장 컸다. 금융보안원의 올해 개인신용정보 수탁자 공동점검 신청을 보면 보험업권 765건 가운데 보험모집(GA)이 636건(83.1%)이었다. 카드·캐피탈 등 여신전문금융업권은 233건 가운데 카드 VAN 업무가 146건(62.7%)으로 가장 많았다. 이는 해킹이나 취약점 발생 건수가 아니라 공동점검 신청 건수다. 보험업권에서는 GA와 연결된 외부 정보기술(IT) 업체에서 시작된 정보유출 전례도 있다. 지난해 GA 영업지원 프로그램을 운영하던 IT업체 개발자의 PC가 악성코드에 감염되면서 GA 14곳의 서버 접속 URL과 관리자 계정 정보가 유출된 것으로 추정됐고, 당시 확인된 GA 2곳에서는 고객·임직원 등 1107명의 개인정보가 유출됐다. 금융당국은 이번 사태에서도 공격 IP를 GA업계에 공유해 8일까지 자체 점검하도록 했다. 카드업계에서는 PG·VAN 등 금융사 밖 결제망이 점검 대상이다. 지난달 코엠페이먼츠는 자체 서버 공격으로 카드번호와 유효기간 등 일부 정보가 유출됐다. 토스페이먼츠에서는 PG 시스템 자체가 침입당한 것은 아니지만 특정 가맹점의 결제연동 인증정보가 노출되면서 2671명의 결제내역 4131건이 제3자에게 조회됐다. 금융위원회도 PG업권을 상대적으로 보안이 취약한 영역으로 지목하며 PG 자체 취약점뿐 아니라 보안이 취약한 가맹점을 이용한 우회 공격까지 관리해야 한다고 지적했다.

금융당국이 인공지능(AI) 에이전트를 활용한 것으로 추정되는 금융권 해킹 공격과 관련해 인터넷주소(IP) 28개를 특정했다. 당국은 IP주소와 보안 취약점 정보를 500여곳 금융회사에 알리고 점검 중이다. 금융감독원은 6일 공지를 통해 “최근 발생한 정보유출 사고와 관련해 해킹을 시도한 IP 주소 33개, 중복을 제거하면 28개를 일부 국가 정보와 함께 금융권에 전파했다”고 밝혔다. 금융권에 따르면 IP 소재 지역은 전날까지 12개국에 달한 것으로 알려졌다. 미국, 일본, 홍콩(중국), 싱가포르, 베트남, 태국, 말레이시아, 스페인, 라트비아, 스웨덴 등이었다. 미국발 IP가 5개로 가장 많았고, 일본과 스웨덴, 독일은 각 2개씩 중복이 있었다. 국내 IP도 1개 있었다. 다만 당국은 해커가 추적을 방해하기 위해 여러 국가를 우회해 침투하는 경우가 있어 공격이 시작된 국가로 해석할 수는 없다고 설명했다. 일부 IP에서는 중국 인공지능(AI) 기반 침투테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이 나왔다. 금감원은 신한은행을 비롯한 일부 은행에 비정상적 경로로 접근해 고객 개인정보를 빼내 간 IP를 토대로 공격자 IP 범위를 좁힌 것으로 전해졌다. 공격은 증권·카드·보험사뿐만 아니라 인터넷전문은행에도 시도됐다. 토스뱅크의 경우 올해 7∼8월뿐 아니라 일찍이 1월에도 당국이 지목한 일부 공격자 IP에서 14차례 비정상적 접근 시도가 있었던 것으로 파악됐다. 카카오뱅크와 케이뱅크도 올해 유사한 시도가 수차례 있었다. 당국은 한 달간 ‘개인정보 유출 2차 피해 특별대응기간’을 발표했다. 이 기간 금융사들은 개인정보 유출 전담 상담창구를 운영하고, 2차 피해 신고가 접수되거나 의심될 경우 금융당국에 즉시 보고해야 한다. 은행권 정보보호최고책임자(CISO)들도 이날 은행연합회에서 회의를 열고 보안점검 현황과 위협정보 신속 공유 등을 논의했다. 한성숙 국무총리는 이날 정부서울청사에서 금융·공공기관 개인정보 유출 관련 회의를 열고 금융위원회에 “유출된 개인 정보 범위를 정확히 파악하고 원인을 철저히 분석해 대책을 마련해달라”고 요청했다.

경찰, 4개팀·28명 투입 수사 착수중수청 통보엔 “유권해석 기다려” 경찰이 최근 발생한 인공지능(AI) 활용 금융권 동시다발 해킹 사건에 대해 6일 정식 수사에 착수하고 20여명 규모의 전담수사팀을 꾸렸다. 다만 이번 사건이 중대범죄수사청(중수청) 통보 대상인지에 대해선 결론을 내리지 못해 금융위원회의 유권해석을 기다리고 있다. 경찰이 지난 2일 개정 형사소송법 시행 이후 맞닥뜨린 첫 대형 사건이라는 점에서 중수청에 넘기는 데 소극적인 게 아니냐는 관측도 제기된다. 이에 분초를 다투는 사이버범죄 수사에서 수사 주체를 정하는 단계부터 혼선이 빚어지면서, 이재명 대통령이 주문한 ‘신속한 대응’이 어려워질 수 있다는 우려가 나온다. 경찰청 국가수사본부는 이날 “금융기관 해킹 사건을 정보통신망법 위반 혐의로 입건했다. 경찰청 사이버테러수사대를 전담수사팀으로 지정하고 집중 수사할 방침”이라고 밝혔다. 수사팀은 사이버테러대응과장을 팀장으로 4개 팀, 28명으로 구성됐다. 해킹 사실이 알려진 지 6일 만이다. 경찰은 이번 사건을 중수청에 통보해야 하는 사안인지도 검토하고 있다. 중수청법은 다른 수사기관이 수사 과정에서 중대범죄 등을 인지한 경우 그 사실을 즉시 중수청장에게 통보하도록 규정하고 있다. 사이버범죄 가운데 중수청 통보 대상이 될 수 있는 경우는 크게 두 갈래다. 먼저 국가핵심기반을 해킹해 정보통신망법을 위반한 경우다. 국가핵심기반은 기능이 마비될 경우 국가 경제와 국민의 안전·건강, 정부 핵심 기능 등에 중대한 영향을 미칠 수 있는 시설 등을 말한다. 올해 6월 기준 금융 분야에서는 한국은행 경기IT센터와 한국산업은행, 한국수출입은행 본점·용인IT센터, 금융결제원, 한국거래소 등 8개 기관 9개 시설이 지정돼 있다. 이번 사건의 피해 금융사들은 국가핵심기반에 포함돼 있지 않다. 남은 쟁점은 해킹당한 시스템이 전자금융거래법상 ‘전자금융기반시설’에 해당하는지다. 전자금융기반시설에 대한 해킹은 중수청 통보 대상이다. 그러나 경찰은 이번에 침해된 시스템을 고객 대상 서비스가 아닌 금융사 내부 업무 시스템으로 파악하고, 해당 시스템을 전자금융기반시설로 볼 수 있는지에 대해 금융위에 유권해석을 의뢰했다. 금융위 판단에 따라 중수청 통보 여부가 갈릴 수 있다. 중수청은 이첩 여부를 놓고 경찰과 협의 중이다. 중수청 관계자는 “충분히 우리가 수사할 수 있는 범죄”라고 말했다. 하지만 조직과 인력이 완비되지 않아 적극적으로 수사를 맡으려는 분위기도 아니다. 실제로 김승환 변호사는 최근 소셜미디어(SNS)에 중수청으로 자리를 옮긴 이들이 “출근은 했는데 컴퓨터도 없고 무슨 일을 할지 몰라 그냥 있다”고 분위기를 전했다. 문제는 사이버범죄의 특성상 초기 대응에 속도가 중요한데도, 수사 주체를 정하는 단계부터 별도 해석이 필요하다면 대응에 차질이 생길 수 있다는 점이다. 서울의 한 사이버범죄 수사부서 A경정은 “사이버범죄는 초기 추적과 추가 피해 차단이 중요한데 사건마다 다른 기관에 법 해석을 물어 수사 주체를 정한다면 신속한 대응이 어려울 수 있다”며 “경찰과 중수청이 어떤 사건을 맡을지 구체적인 기준을 미리 마련했어야 한다”고 말했다. 이 대통령도 이날 국무회의를 주재하고 “관계 당국은 사건 경위를 명확하게 파악하고, 피해를 최소화하기 위해 필요한 인력과 자원을 신속하게 집중 투입해 주길 바란다”고 말했다. 이어 “기술 발전의 속도가 빠를수록 더욱 신속하게 역량을 갖추고 신속하게 대응해야 한다”고 주문했다.

① 금융사 정보보호 의무공시 예외 ② AI보안 대응은 제재 없는 권고 ③ 책임·보완 강화법은 국회 계류 “정보 공개로 보안 투자 늘리게 해야” 금융권 연쇄 해킹으로 고객 정보가 잇따라 유출됐지만 금융소비자를 보호할 제도는 공격 속도를 따라가지 못하고 있다. 금융사는 보안 투자·인력을 공개할 의무가 없고, 인공지능(AI) 공격 대응지침은 권고 수준에 머물러 있다. 경영진의 보안 책임을 강화할 법 개정도 지연되고 있다. 금융사가 사고 예방에 적극 투자하도록 이끌 장치가 부족한 셈이다. 6일 금융권에 따르면 사고 관련 고객 문의는 이어지고 있다. 고객 2만 5000여명의 개인정보가 유출된 신한은행에는 지난 5일까지 총 4991건의 문의가 접수됐다. 이 가운데 유출 대상 고객의 문의는 225건, 민원성 문의는 99건이었다. 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행에는 4~5일 이틀간 5건의 문의가 들어왔다. 이렇게 정보 유출로 고객 불안이 커지고 있지만, 정작 소비자가 금융사의 보안 수준을 확인하고 비교할 수 있는 정보는 제한적이다. 현행 정보보호산업법 시행령에 따라 은행·보험·카드 등 금융회사는 한국인터넷진흥원(KISA)의 정보보호 의무공시 대상에서 제외된다. 자율적으로 공개할 수는 있지만, 모든 금융사의 보안 투자와 인력을 같은 기준으로 비교하기는 어렵다. 정보보호 공시는 소비자의 선택을 돕는 동시에 금융사 간 보안 투자 경쟁을 유도할 수 있다. 염흥열 순천향대 정보보호학과 명예교수는 “동종 기업의 투자 비율 등을 비교하면 경쟁적으로 정보보호 투자를 늘리는 데 기여할 수 있다”며 “금융권도 정보보호 공시제도를 활성화할 필요가 있다”고 말했다. AI 위협에 맞춘 구체적인 대응체계도 현재는 권고 중심이다. 금융위원회는 지난 7월 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화 등을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’을 배포했지만 금융사가 준수하지 않아도 제재 등 불이익이 없다. 다만 기존 전자금융 관련 법령에 따른 취약점 분석·평가 등 보안 의무는 별도로 존재한다. 다만 기술이 빠르게 바뀌는 만큼 세부 규정을 강제하는 것만으로는 한계가 있다는 반론도 나온다. 임종인 고려대 정보보호대학원 명예교수는 “AI는 6개월마다 두 배씩 성능이 좋아지는데 기존 정보보호 규정을 준수하는 수준의 대응만 반복하면 필패”라며 “업체가 스스로 투자하고 역량을 길러 보안 수준을 경쟁력으로 삼게 해야 한다”고 강조했다. 금융사 경영진의 보안 책임을 강화할 법 개정도 국회에서 멈춰 있다. 유동수 더불어민주당 의원이 지난해 11월 28일 발의한 전자금융거래법 개정안은 대표이사의 책임을 명확히 하고 정보보호최고책임자(CISO)의 독립성과 권한을 강화하는 내용이다. 정보보호 공시와 제재체계 정비도 담겼지만, 지난 3월 31일 정무위원회에 상정된 뒤 계류 중이다. 보안 책임자에게 임원 직함을 주는 데 그치지 않고, 보안 예산과 인력 확보 등 주요 의사결정에 참여할 권한을 보장해야 한다는 지적도 나온다. 권헌영 고려대 정보보호대학원 교수는 금융사의 보안 관리체계 개선에 대해 “형식적으로 임원 자리만 주고 실질적으로 경영에 참여하는 권한과 책임은 안 준다”고 지적했다.

금융권 연쇄 해킹으로 고객 정보가 잇따라 유출됐지만 금융소비자를 보호할 제도는 공격 속도를 따라가지 못하고 있다. 금융사는 보안 투자·인력을 공개할 의무가 없고, 인공지능(AI) 공격 대응지침은 권고 수준에 머물러 있다. 경영진의 보안 책임을 강화할 법 개정도 지연되고 있다. 금융사가 사고 예방에 적극 투자하도록 이끌 장치가 부족한 셈이다. 6일 금융권에 따르면 사고 관련 고객 문의는 이어지고 있다. 고객 2만 5000여명의 개인정보가 유출된 신한은행에는 지난 5일까지 총 4991건의 문의가 접수됐다. 이 가운데 유출 대상 고객의 문의는 225건, 민원성 문의는 99건이었다. 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행에는 4~5일 이틀간 5건의 문의가 들어왔다. ① 금융사 정보보호 의무공시 예외이렇게 정보 유출로 고객 불안이 커지고 있지만, 정작 소비자가 금융사의 보안 수준을 확인하고 비교할 수 있는 정보는 제한적이다. 현행 정보보호산업법 시행령에 따라 은행·보험·카드 등 금융회사는 한국인터넷진흥원(KISA)의 정보보호 의무공시 대상에서 제외된다. 자율적으로 공개할 수는 있지만, 모든 금융사의 보안 투자와 인력을 같은 기준으로 비교하기는 어렵다. 정보보호 공시는 소비자의 선택을 돕는 동시에 금융사 간 보안 투자 경쟁을 유도할 수 있다. 염흥열 순천향대 정보보호학과 명예교수는 “동종 기업의 투자 비율 등을 비교하면 경쟁적으로 정보보호 투자를 늘리는 데 기여할 수 있다”며 “금융권도 정보보호 공시제도를 활성화할 필요가 있다”고 말했다. ② AI 보안 대응은 제재 없는 권고AI 위협에 맞춘 구체적인 대응체계도 현재는 권고 중심이다. 금융위원회는 지난 7월 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화 등을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’을 배포했지만 금융사가 준수하지 않아도 제재 등 불이익이 없다. 다만 기존 전자금융 관련 법령에 따른 취약점 분석·평가 등 보안 의무는 별도로 존재한다. 다만 기술이 빠르게 바뀌는 만큼 세부 규정을 강제하는 것만으로는 한계가 있다는 반론도 나온다. 임종인 고려대 정보보호대학원 명예교수는 “AI는 6개월마다 두 배씩 성능이 좋아지는데 기존 정보보호 규정을 준수하는 수준의 대응만 반복하면 필패”라며 “업체가 스스로 투자하고 역량을 길러 보안 수준을 경쟁력으로 삼게 해야 한다”고 강조했다. ③ 책임·보안 강화법은 국회 계류금융사 경영진의 보안 책임을 강화할 법 개정도 국회에서 멈춰 있다. 유동수 더불어민주당 의원이 지난해 11월 28일 발의한 전자금융거래법 개정안은 대표이사의 책임을 명확히 하고 정보보호최고책임자(CISO)의 독립성과 권한을 강화하는 내용이다. 정보보호 공시와 제재체계 정비도 담겼지만, 지난 3월 31일 정무위원회에 상정된 뒤 계류 중이다. 보안 책임자에게 임원 직함을 주는 데 그치지 않고, 보안 예산과 인력 확보 등 주요 의사결정에 참여할 권한을 보장해야 한다는 지적도 나온다. 권헌영 고려대 정보보호대학원 교수는 금융사의 보안 관리체계 개선에 대해 “형식적으로 임원 자리만 주고 실질적으로 경영에 참여하는 권한과 책임은 안 준다”고 지적했다.

금융당국이 인공지능(AI) 에이전트를 활용한 것으로 추정되는 금융권 해킹 공격과 관련해 인터넷주소(IP) 28개를 특정했다. 당국은 IP주소와 보안 취약점 정보를 500여곳 금융회사에 알리고 점검 중이다. 금융감독원은 6일 공지를 통해 “최근 발생한 정보유출 사고와 관련해 해킹을 시도한 IP 주소 33개, 중복을 제거하면 28개를 일부 국가 정보와 함께 금융권에 전파했다”고 밝혔다. 금융권에 따르면 IP 소재 지역은 전날까지 12개국에 달한 것으로 알려졌다. 미국, 일본, 홍콩(중국), 싱가포르, 베트남, 태국, 말레이시아, 스페인, 라트비아, 스웨덴 등이었다. 미국발 IP가 5개로 가장 많았고, 일본과 스웨덴, 독일은 각 2개씩 중복이 있었다. 국내 IP도 1개 있었다. 다만 당국은 해커가 추적을 방해하기 위해 여러 국가를 우회해 침투하는 경우가 있어 공격이 시작된 국가로 해석할 수는 없다고 설명했다. 일부 IP에서는 중국 인공지능(AI) 기반 침투테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이 나왔다. 금감원은 신한은행을 비롯한 일부 은행에 비정상적 경로로 접근해 고객 개인정보를 빼내 간 IP를 토대로 공격자 IP 범위를 좁힌 것으로 전해졌다. 공격은 증권·카드·보험사뿐만 아니라 인터넷전문은행에도 시도됐다. 토스뱅크의 경우 올해 7∼8월뿐 아니라 일찍이 1월에도 당국이 지목한 일부 공격자 IP에서 14차례 비정상적 접근 시도가 있었던 것으로 파악됐다. 카카오뱅크와 케이뱅크도 올해 유사한 시도가 수차례 있었다. 당국은 한 달간 ‘개인정보 유출 2차 피해 특별대응기간’을 발표했다. 이 기간 금융사들은 개인정보 유출 전담 상담창구를 운영하고, 2차 피해 신고가 접수되거나 의심될 경우 금융당국에 즉시 보고해야 한다. 은행권 정보보호최고책임자(CISO)들도 이날 은행연합회에서 회의를 열고 보안점검 현황과 위협정보 신속 공유 등을 논의했다. 한성숙 국무총리는 이날 정부서울청사에서 금융·공공기관 개인정보 유출 관련 회의를 열고 금융위원회에 “유출된 개인 정보 범위를 정확히 파악하고 원인을 철저히 분석해 대책을 마련해달라”고 요청했다.

서울 금천구가 어르신의 일상생활에 필요한 디지털금융교육과 중학 학력인정까지 성인문해교육의 범위를 넓힌다고 6일 밝혔다. 구는 지난달 17일 ‘신한 아름인 디지털금융교육’을 마쳤다. 11월에는 ‘뱅크잇 시니어디지털금융교육’을 운영한다. 뱅크잇 시니어디지털금융교육은 어르신의 실생활에 필요한 디지털·금융 역량을 높이는 내용이다. 구는 이처럼 자체 교육과 함께 민간 공모와 사회공헌사업을 연계해 어르신에게 다양한 학습 기회를 제공하고 있다. 교육은 11월 3일부터 26일까지 금천평생학습관 독산에서 매주 화·목요일마다 총 8회 진행한다. 휴대전화와 모바일뱅킹 활용법, 키오스크 실습, 금융사기 예방 등 일상에서 즉시 활용할 수 있는 내용을 중심으로 교육한다. 모바일뱅킹 사용이 가능한 65세 이상 주민 15명이 모집 대상이며 선착순으로 마감한다. 교육은 지난 1일부터 금천교육포털에서 온라인으로 신청받고 있다. 전화로도 신청할 수 있다. 구는 어르신이 학습을 계속 이어갈 수 있도록 ‘중학 학력인정 과정’ 개설도 추진한다. 초등학교 수준의 문해교육을 마친 어르신이 거주지와 가까운 평생학습 공간에서 중학교 과정까지 학습하고 학력을 인정받을 수 있다. 구는 고령층 주민에게 필요한 교육 기회를 넓혀 배움을 이어갈 수 있도록 계속 지원할 계획이다. 최기찬 구청장은 “교육으로 어르신이 디지털 금융을 쉽고 편리하게 활용하는 데 도움이 되길 바란다”며 “앞으로도 실생활에 도움이 되는 교육을 확대해 어르신의 평생학습을 지원하겠다”고 말했다.

국내외 금리 변동성이 커지면서 금융회사들의 자금 조달 부담이 높아지는 상황이다. 이에 따라 금융사들은 회사채뿐 아니라 은행 대출, 자산유동화증권(ABS), 해외 채권 등으로 조달처를 다변화하며 시장 변화에 대응하고 있다. 현대캐피탈은 국내외 금융시장에서 다양한 조달 수단을 확보하며 금리 변동에 대응할 수 있는 기반을 구축하고 있다고 6일 밝혔다. 국내 3대 신용평가사로부터 모두 ‘AA+’ 등급을 받았으며, 글로벌 신용평가사인 S＆P와 피치로부터 ‘A-’, 무디스로부터 ‘A3’ 등급을 획득했다. 또한 올해 2분기 기준 전체 조달에서 ABS와 은행 차입이 각각 14%, 13%를 차지했다. 국내 금융기관뿐 아니라 해외 은행과 신디케이트론 등을 활용해 조달처를 넓히는 중이다. 지난 6월에는 대만계 은행들과 신디케이트론을 실행하며 투자자 풀을 확대했다. 외화 조달에도 적극적이다. 올해 1월 업계 처음으로 5억 유로 규모의 유로화 공모채권을 발행한 데 이어 3월에는 금융권 처음으로 6억 6000만 위안 규모의 공모 김치본드를 발행했다. ESG 분야에서도 새로운 조달원을 발굴하고 있다. 2016년 국내 민간기업 처음으로 글로벌 그린본드를 발행했으며, 2023년에는 국내 처음으로 2200억원 규모의 지속가능연계채권(SLB)을 선보였다. 최근에는 금융기관과 협력해 ESG 대출도 실행 중이다. 현대캐피탈은 금리 수준뿐 아니라 시장 변동성과 자금 만기 등을 종합적으로 고려해 조달 전략을 운영하고 있다고 설명했다. 단기 차입 비중을 관리해 특정 시기에 차환 수요가 몰리는 위험을 줄이는 한편, 보유 현금과 금융기관 미사용 약정한도 등을 확보해 유동성 위험에도 대비한다는 전략이다. 현대캐피탈 관계자는 “금융사에 있어 자금조달은 사업의 원가를 결정하는 가장 기본적이면서도 핵심적인 요소”라며 “빠르게 변화하는 시장 상황에 맞춰 최적의 조달 전략을 실행해 나갈 것”이라고 말했다.

초유의 인공지능(AI)을 활용한 시중은행 동시다발 해킹 사건이 알려진 지 닷새째인 5일에도 수사기관들의 움직임은 더디기만 하다. 경찰은 여전히 내사 단계이고, 중대범죄수사청은 경찰 통보만 기다리면서 정식 수사는 감감무소식이다. 과거라면 곧바로 금융사에 대한 압수수색 등이 이뤄졌을 사안이다. “엄중한 인식을 갖고 철저히 조사하라”는 이재명 대통령의 지시가 무색할 정도다. 경찰청 국가수사본부는 시중은행 등 금융권 해킹 사건에 대해 지난 1일부터 내사를 이어 가고 있다. 피의자 특정이나 피해 규모 등 범행 실체가 명확해지면 정식 수사로 전환할 방침이다. 사이버범죄는 중수청이 맡는 7대 중대범죄에 포함된다. 중수청법 시행령에 따르면 경찰 등 수사기관은 이를 인지할 경우 중수청장에게 즉시 통보해야 한다. 다만 경찰은 이 대통령이 대책 마련을 지시하고 금융위원회가 금융권에 보안 점검을 주문했는데도 아직도 사건을 인지하지 못한 상태다. 경찰 관계자는 “실제 해킹이 이뤄졌는지, 어떤 방식으로 공격했는지, 범행 개연성이 있는지 등을 확인하는 수사 인지 절차를 거치고 있다”고 밝혔다. 경찰의 인지가 늦어지면서 중수청 통보 절차도 멈춰 섰다. 통보가 오더라도 중수청장은 원칙적으로 7일 안에 수사 개시 여부를 회신할 수 있다. 수사기관 간 역할 분담이 수사의 발목을 잡으면서 중수청 출범 직후부터 수사 공백이 발생하고 있는 셈이다. 이윤호 동국대 경찰행정학과 교수는 “중수청이 경찰 통보만 기다릴 게 아니라 경찰과 협의해 내사 진행 상황을 공유하고 통보 시점 등을 조율할 필요가 있다”고 말했다. 중수청은 일단 본청 과학수사국과 서울중수청을 중심으로 대비에 들어갔다. 중수청 관계자는 “통보가 오면 공백 없이 진행하도록 준비 중”이라고 말했다. 다만 중수청은 지난 2일 청장이 공석인 채 문을 연 데다 자체 형사사법정보시스템도 갖추지 못해 경찰청 시스템을 함께 쓰고 있다. 해킹 등 사이버범죄는 중수청의 수사 대상이지만 경찰이 먼저 수사에 나선 건 ‘개문발차’한 영향이 큰 것으로 보인다. 경찰로부터 사건을 넘겨받더라도 속도를 낼 수 있을지 미지수다. 해킹 사건은 초기 로그와 접속 기록 확보가 수사의 관건으로 꼽힌다. 과거에 금융권 해킹이나 정보 유출 사건이 발생하면 검찰은 초기부터 전담팀을 꾸려 대응했다. 2011년 농협 전산망 마비 사태 당시 서울중앙지검 첨단범죄수사2부는 사건이 발생한 이튿날 수사관을 보내 문제의 노트북과 전산자료를 확보했다. 임강빈 순천향대 정보보호학과 교수는 “시간이 지날수록 시스템 로그가 사라지거나 새로운 데이터로 덮이면서 수사기관이 분석할 수 있는 범위가 줄어들 수 있다”고 밝혔다. 이 교수도 “긴박한 상황을 감안하면 중수청이 경찰 통보를 기다리지 않고 자체 수사에 나서는 게 정상”이라고 말했다. 다만 경찰청 관계자는 “내사 단계에서 해커 로그 접속 기록을 확보했다”고 해명했다. 중수청은 서울·수원·대전지방청에 보이스피싱·금융·가상자산·마약·국가재정범죄 합동수사과 5곳을 신설해 과거 합동수사본부의 역할을 맡기로 했지만 아직 밑그림 단계다. 또 다른 중수청 관계자는 “다 정비되려면 시간이 필요하다”고 말했다. 새 수사기관 출범 초기에 사건 관할을 두고 혼선이 빚어진 건 처음이 아니다. 2021년 출범한 고위공직자범죄수사처도 사건 이첩을 두고 검찰과 갈등을 빚었다. 개정 형사소송법은 이러한 관할 다툼을 조정할 수사권관할조정협의회를 신설했지만 시행은 2027년 2월이다. 그 전까지는 기관 간 협의 외에 사건 배분을 강제할 장치가 없다. 검찰개혁추진단 자문위원을 맡았던 김필성 법무법인 양재 변호사는 “중수청과 경찰이 서로 눈치를 보는 것 자체가 잘못된 상황”이라고 말했다. 정지웅 변호사도 “제도적으로 구멍이 있는 곳은 사람이 부지런히 뛰면서 메울 수 있도록 조정 작업과 보완책 마련이 시급하다”고 덧붙였다.

②15~67시간 ‘깜깜’ 이유는‘짧은 시간 인증·조회 반복’ 허점 노려③피해 없는 곳의 차별점은다중 인증·상시 점검 체계로 방어금융권을 겨냥한 인공지능(AI) 해킹 사고로 소비자 불안이 커지고 있다. 서울신문이 유출 확인법과 금융사의 탐지가 늦어진 이유, 피해를 막은 금융사의 차이 등 세 가지 궁금증을 짚었다. 5일 금융권에 따르면 개인정보 유출 확인 방식은 금융사마다 다르다. 신한은행은 ‘신한 SOL뱅크’와 홈페이지에서 직접 조회할 수 있고 피해 고객에게 문자·일부 우편으로 알렸다. KB국민은행도 홈페이지에 조회창을 마련하고 피해 대상자에게 멀티미디어메시지(MMS)를 보냈다. 하나은행은 피해 고객 89명에게 개별 통보했고, 약 4만명 규모로 추정되는 예가람저축은행은 홈페이지 공지와 문자 안내에 나섰다. 별도 조회창이 없다면 금융사의 개별 통지나 공식 홈페이지 공지를 확인하는 게 우선이다. 특히 ‘개인정보 유출 확인’을 내세운 문자 속 링크를 누르기보다 거래 금융사의 공식 애플리케이션(앱)이나 홈페이지에 직접 접속하는 게 안전하다. 수백억원대 보안 투자와 각종 인증에도 대형 은행들은 공격을 수십 시간 동안 알아채지 못했다. 공격 시작부터 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. AI가 짧은 시간에 인증·조회 시도를 반복하며 기존 탐지체계의 허점을 파고들었을 가능성이 거론된다. 신한은행에서는 정상적인 조회처럼 접근한 뒤 고객번호 등을 대입해 대출신청 결과 등 6개 서비스를 집중 조회한 것으로 파악됐다. 다만 AI가 실제 어느 단계에서 활용됐고 탐지 지연에 얼마나 영향을 미쳤는지는 아직 조사 중이다. 방어 수단으로는 비밀번호 외에 추가 인증을 요구하는 다중인증과 취약점 선제 점검이 꼽힌다. 우리은행은 AI 기반 솔루션 ‘진트(Xint)’와 자체 도구로 주요 시스템의 취약점을 상시 확인한다. NH농협은행도 비정상 접속과 인증 우회 시도를 탐지·차단하는 체계를 운영한다. 두 은행은 유사한 공격을 받았지만 이날까지 정보 유출은 확인되지 않았다.

내부·외부망 분리, 보안 취약점으로“AI 공격, AI로 방어 체계 마련해야”금융거래 등 민감정보 노출은 부담 금융권 연쇄 해킹을 계기로 외부 침입을 막기 위해 도입한 ‘망분리’ 규제가 오히려 최신 보안 기술 활용을 어렵게 한다는 지적이 나온다. 인공지능(AI)이 쉴 새 없이 취약점을 찾아 공격하는 상황에서 금융사도 AI로 대응해야 하지만, 외부 서비스 연결을 제한하는 규제가 걸림돌이 된다는 것이다. 금융당국은 망분리 규제 긴급 완화에 이어 전면 해제까지 논의 중이다. 5일 금융당국에 따르면 지난 4월 ‘미토스 쇼크’ 이후 AI 방어 기술을 활용하기 위한 망분리 완화를 검토하고 있다. 미토스 쇼크는 앤트로픽의 최신 AI 모델이 보안 취약점을 찾고 침투 경로까지 설계하면서 불거진 보안 위기다. 이억원 금융위원장이 전날 전 금융권 긴급회의에서 “새로운 유형의 빈도 높은 사이버 공격이 앞으로 이어질 수 있는 만큼 AI 공격은 AI로 방어하는 보안 체계를 마련해야 한다”고 강조한 배경이다. 2013년 도입된 망분리는 금융사의 내부 업무망을 외부 인터넷과 분리해 금융정보와 핵심 전산망을 보호하는 조치다. 해커가 들어올 외부 통로를 줄이는 방식이다. 하지만 급격한 정보기술(IT) 환경의 발전 속에서 금융서비스가 다양해지며 외부 연결도 늘어 망분리만으로 모든 공격을 막기는 어려워졌다. 이번에도 핵심 거래 시스템보다는 대출모집인용 간편 조회 서비스와 직원용 모바일 업무지원시스템 등에서 취약점이 드러났다. 문제는 기존 망분리 환경에서는 외부의 고성능 AI나 보안 서비스형 소프트웨어(SaaS)를 내부 업무망과 연결해 활용하기 어렵다는 점이다. 해커는 AI로 취약점을 찾아 쉴 새 없이 공격을 반복하지만, 금융사는 규제로 최신 AI 보안 기술을 활용하는 데 제약을 받는 역설이 생긴 셈이다. 금융위 관계자는 “AI가 접속 기록과 이상 행동을 분석해 공격을 탐지하려면 관련 정보를 분석 시스템과 연결해야 하는데, 외부 통신을 제한하는 망분리 규제 아래에서는 도입이 어렵다”고 말했다. 다만 금융회사 입장에서 이 규제를 완화할 경우 당장 금융 거래 등 민감한 정보에 대한 공격 표면이 늘어나는 점은 부담이다. 이 때문에 금융당국은 지난 6월 망분리 규제 완화 1차 테스트에서 보안 서비스형 소프트웨어, 보안 목적 AI 용도로 제한했다. 곽진 아주대 사이버보안학과 교수는 “망분리를 풀더라도 외부의 이상 접근을 실시간으로 탐지하고 취약점을 자동 분석하는 능동적 방어 체계를 갖춰야 한다”고 강조했다.

금융권 연쇄 해킹을 계기로 외부 침입을 막기 위해 도입한 ‘망분리’ 규제가 오히려 최신 보안 기술 활용을 어렵게 한다는 지적이 나온다. 인공지능(AI)이 쉴 새 없이 취약점을 찾아 공격하는 상황에서 금융사도 AI로 대응해야 하지만, 외부 서비스 연결을 제한하는 규제가 걸림돌이 된다는 것이다. 금융당국은 망분리 규제 긴급 완화에 이어 전면 해제까지 논의 중이다. 5일 금융당국에 따르면 지난 4월 ‘미토스 쇼크’ 이후 AI 방어 기술을 활용하기 위한 망분리 완화를 검토하고 있다. 미토스 쇼크는 앤트로픽의 최신 AI 모델이 보안 취약점을 찾고 침투 경로까지 설계하면서 불거진 보안 위기다. 이억원 금융위원장이 전날 전 금융권 긴급회의에서 “새로운 유형의 빈도 높은 사이버 공격이 앞으로 이어질 수 있는 만큼 AI 공격은 AI로 방어하는 보안 체계를 마련해야 한다”고 강조한 배경이다. 2013년 도입된 망분리는 금융사의 내부 업무망을 외부 인터넷과 분리해 금융정보와 핵심 전산망을 보호하는 조치다. 해커가 들어올 외부 통로를 줄이는 방식이다. 하지만 급격한 정보기술(IT) 환경의 발전 속에서 금융서비스가 다양해지며 외부 연결도 늘어 망분리만으로 모든 공격을 막기는 어려워졌다. 이번에도 핵심 거래 시스템보다는 대출모집인용 간편 조회 서비스와 직원용 모바일 업무지원시스템 등에서 취약점이 드러났다. 문제는 기존 망분리 환경에서는 외부의 고성능 AI나 보안 서비스형 소프트웨어(SaaS)를 내부 업무망과 연결해 활용하기 어렵다는 점이다. 해커는 AI로 취약점을 찾아 쉴 새 없이 공격을 반복하지만, 금융사는 규제로 최신 AI 보안 기술을 활용하는 데 제약을 받는 역설이 생긴 셈이다. 금융위 관계자는 “AI가 접속 기록과 이상 행동을 분석해 공격을 탐지하려면 관련 정보를 분석 시스템과 연결해야 하는데, 외부 통신을 제한하는 망분리 규제 아래에서는 도입이 어렵다”고 말했다. 다만 금융회사 입장에서 이 규제를 완화할 경우 당장 금융 거래 등 민감한 정보에 대한 공격 표면이 늘어나는 점은 부담이다. 이 때문에 금융당국은 지난 6월 망분리 규제 완화 1차 테스트에서 보안 서비스형 소프트웨어, 보안 목적 AI 용도로 제한했다. 곽진 아주대 사이버보안학과 교수는 “망분리를 풀더라도 외부의 이상 접근을 실시간으로 탐지하고 취약점을 자동 분석하는 능동적 방어 체계를 갖춰야 한다”고 강조했다.

금융권을 겨냥한 인공지능(AI) 해킹 사고로 소비자 불안도 커지고 있다. 서울신문이 유출 확인법과 금융사의 탐지가 늦어진 이유, 피해를 막은 금융사의 차이 등 세 가지 궁금증을 짚었다. 내 정보 유출됐나… 금융사별 확인법 달라5일 금융권에 따르면 개인정보 유출 확인 방식은 금융사마다 다르다. 신한은행은 ‘신한 SOL뱅크’와 홈페이지에서 직접 조회할 수 있고 피해 고객에게 문자·일부 우편으로 알렸다. KB국민은행도 홈페이지에 조회창을 마련하고 피해 대상자에게 멀티미디어메시지(MMS)를 보냈다. 하나은행은 피해 고객 89명에게 개별 통보했고, 약 4만명 규모로 추정되는 예가람저축은행은 홈페이지 공지와 문자 안내에 나섰다. 별도 조회창이 없다면 금융사의 개별 통지나 공식 홈페이지 공지를 확인하는 게 우선이다. 특히 ‘개인정보 유출 확인’을 내세운 문자 속 링크를 누르기보다 거래 금융사의 공식 애플리케이션(앱)이나 홈페이지에 직접 접속하는 게 안전하다. 수백억 보안투자에도… 왜 15~67시간 몰랐나수백억원대 보안 투자와 각종 인증에도 대형 은행들은 공격을 수십 시간 동안 알아채지 못했다. 공격 시작부터 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. AI가 짧은 시간에 인증·조회 시도를 반복하며 기존 탐지체계의 허점을 파고들었을 가능성이 거론된다. 신한은행에서는 정상적인 조회처럼 접근한 뒤 고객번호 등을 대입해 대출신청 결과 등 6개 서비스를 집중 조회한 것으로 파악됐다. 다만 AI가 실제 어느 단계에서 활용됐고 탐지 지연에 얼마나 영향을 미쳤는지는 아직 조사 중이다. 같은 공격에도 피해 없었다… 다중인증·선제 점검방어 수단으로는 비밀번호 외에 추가 인증을 요구하는 다중인증과 취약점 선제 점검이 꼽힌다. 우리은행은 AI 기반 솔루션 ‘진트(Xint)’와 자체 도구로 주요 시스템의 취약점을 상시 확인한다. NH농협은행도 비정상 접속과 인증 우회 시도를 탐지·차단하는 체계를 운영한다. 두 은행은 유사한 공격을 받았지만 이날까지 정보 유출은 확인되지 않았다.

신한·KB국민·하나은행 등 대형 시중 은행 3곳과 예가람저축은행에서 고객 개인정보가 유출됐다. 그동안 개인정보 유출은 내부 직원의 일탈이나 외부 업체의 부주의 때문이었다. 이번 유출은 보안 관리가 허술한 대출모집인용 홈페이지, 직원용 모바일 업무 시스템 등 ‘뒷문’을 통한 공격이었다. 이억원 금융위원장은 어제 “여러 업권에서 사고가 단기간에 다수 발견되고 있다”며 “인공지능(AI)을 활용한 공격 가능성도 배제할 수 없다”고 밝혔다. 해커의 인터넷 프로토콜(IP) 주소가 일부 중복됐고, 공통으로 반복·자동화된 외부 공격이 확인됐다. 중국어 기반 AI 해킹 도구가 사용되기도 했다. 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스’의 흔적이 발견된 사실은 무엇보다 주목할 부분이다. 아르텍스는 공개 플랫폼이어서 중국발 공격으로 단정할 수는 없으나, 국제 공조를 통해 정밀하게 파악해야 할 문제다. AI 기술이 결합하면서 해킹 양상은 파괴적으로 변하고 있다. 예전에는 해커가 시스템의 허점을 찾기 위해 직접 수많은 변수를 넣었지만 이제는 AI에 목표만 정해주면 정보 수집, 취약점 탐색, 공격 실행, 결과 분석까지 모든 과정을 스스로 수행한다. AI 악용에 따른 보안 위협의 심각성은 예상됐던 일이기도 하다. 삼성SDS가 국내 정보기술(IT) 및 보안 담당자들에게 올해 기업에 가장 큰 영향을 미칠 사이버 보안 위협을 물었더니 ‘AI 기반 보안 위협’이 압도적인 비중(81.2%)으로 꼽혔다. 이번 해킹은 보안이 허술한 지점에서 발생했지만 금융사의 잘못된 체계 탓도 있었다. 본인 확인을 거치지 않고 대출신청 내역이나 기업 대표 정보를 조회할 수 있거나, 직원 업무용 모바일 단말기에 대한 접근 통제가 빠졌거나, 권한 없이도 특정 웹서비스에 접근할 수 있었다. 해킹 사고 유형이 공유된 만큼 대응 소홀로 유사 사례가 재발한다면 경영진에게 엄중하게 책임을 물어야 한다. 오픈뱅킹으로 은행은 물론 핀테크 기업, 증권, 카드 등 다양한 업권이 연결된 현실이다. 연결 고리가 해킹의 주요 도구가 되지 않도록 금융권의 공동 대응이 절실하다. 뚫린 이후의 대응도 중요하다. 침범 당했더라도 핵심 정보까지 접근하지 못하도록 모든 정보 요청을 매번 확인해야 한다. 온라인동영상서비스(OTT)와 전자결제, 미용의료 정보 플랫폼 등에서 개인정보가 잇따라 유출되고 있다. 서로 다른 곳에서 유출된 개인정보들이 결합해 대형 사기로 번질 수 있다는 불안감도 커진다. 개별 회사의 보안 강화는 물론 국가 차원에서 AI 방어막을 구축해야 하는 시점이다.

은행·저축은행·캐피털 등 금융권 전반으로 개인정보 탈취 시도가 확산하는 가운데, 중신용자를 위한 ‘1.5금융’을 표방하는 온라인투자연계금융업(P2P·온투업)계에서도 해킹 피해가 확인됐다. 4일 금융권에 따르면 국내 1호 등록 온투업체인 피에프씨테크놀로지스(PFCT·옛 피플펀드)에서 지난달 27일 오전 3시 30분쯤 외부의 무단 접근으로 고객 302명의 정보가 유출됐다. 고객별로 유출 항목은 다르지만 이름·주민등록번호·전화번호 등이 포함된 것으로 전해졌다. 다른 금융사와 마찬가지로 인공지능(AI)을 활용한 공격으로 추정된다. 대응이 느슨해질 수 있는 추석 연휴 새벽에 발생했다. PFCT 관계자는 “대출정보는 유출되지 않은 것으로 파악하고 있다”며 “실시간 대응으로 추가 피해를 막았으며 금융감독원에 보고한 뒤 조사 중”이라고 밝혔다. PFCT는 관계기관 조사 결과가 확정되는 대로 고객 보상안을 마련할 계획이다. 온투업체는 투자자에게 모은 돈으로 대출을 내주고, 차주가 갚은 원리금을 투자자에게 돌려주는 방식으로 운영된다. 대형 금융사보다 규모가 작아 보안에 투입할 자금과 인력이 제한적이다. 소규모 핀테크의 보안 취약점을 노린 AI 해킹이 확산할 수 있다는 우려가 나온다. 다른 온투업체인 모우다도 지난달 27~28일 제3자의 웹사이트 불법 접근을 통한 개인정보 유출 가능성을 확인했다고 29일 공지했다.

최근 2년 새 사업자 차명계좌가 가장 많이 적발된 금융사는 NH농협은행으로 드러났다. 4일 국세청이 강민국 국민의힘 의원실에 제출한 ‘차명계좌 신고 금융회사 내역’에 따르면 지난해 1월부터 올해 7월까지 총 28개 금융회사에서 3471건의 사업자 차명계좌가 적발됐다. 금융회사별로는 NH농협은행에 개설된 계좌가 703건(20.3%)으로 가장 많았다. 이어 국민은행 497건(14.3%), 농축협 471건(13.5%), 신한은행 319건(9.2%) 순이었다. 이들 네 곳에서 적발된 차명계좌는 전체의 57.3%(1990건)에 이르렀다. 다음으로 기업은행(277건), 우리은행(270건), 카카오뱅크(241건), 하나은행(185건), iM뱅크(91건), 새마을금고(85건)가 뒤를 이었다. 2020년부터 올해 7월까지 7개년간 국세청에 제보된 차명계좌 건수는 총 7만 8398건이었다. 2020년 1만 2568건, 2021년 1만 743건, 2022년 1만 3988건, 2023년 1만 2961건, 2024년 1만 2769건, 지난해 1만 739건으로 2022년을 정점으로 신고는 점점 감소했다. 차명계좌 신고 이후 세무조사나 서면 확인 등 과세에 활용된 건수는 지난 7개년간 2만 4648건으로 제보 대비 31.4% 수준이었다. 강 의원은 “차명계좌 제보가 이뤄지면 차명계좌 번호와 금융회사명이 기재되는데도 국세청은 그간 사업자 차명계좌 색출 실적을 별도로 관리하지 않았다”면서 “국세청은 최근 차명계좌 신고 건수가 감소한 것을 단순히 코로나19에 따른 경제활동 위축과 국세청의 노력으로 포장했다”고 지적했다. 국세청은 “개별 신고 정보는 정확히 관리하고 있으나, 금융회사별 통계는 관리하지 않고 있다”며 “차명계좌 사용 근절을 위한 다양한 방안을 강구하겠다”고 설명했다.