국내 금융권을 겨냥한 연쇄 해킹 사고가 당초 알려진 것보다 훨씬 넓게 확산된 것으로 확인됐습니다. 금융위원회는 14일 금융감독원·금융보안원 및 관계기관과 제2차 긴급 상황대응 회의를 열고, 은행·저축은행·상호금융·캐피탈·전자금융·온라인투자연계금융·가상자산업체 등 총 16개 금융회사에서 침해사고가 확인됐다고 밝혔습니다.
현재까지 파악된 정보 유출 규모는 약 10만 건입니다. 유출된 정보에는 성명, 연락처, 주민등록번호, 이메일 주소 등이 포함됐습니다. 다만 금융당국은 계좌 비밀번호나 카드번호처럼 직접적인 부정 결제에 악용될 가능성이 높은 정보의 유출은 현재까지 확인되지 않았다고 설명했습니다.
침해 사실이 확인된 곳은 신한은행·KB국민은행·BNK부산은행·하나은행을 비롯해 예가람·웰컴·DB·OK저축은행, 현대캐피탈·산은캐피탈, PFCT·모우다, 브라이트픽스, 가상자산업체 스트리미·프라뱅, 새마을금고중앙회 등입니다. 금융당국은 현재도 공유된 공격자 IP 등을 토대로 추가 침해 여부를 확인하고 있어 피해 금융회사 수가 더 늘어날 가능성도 있다고 밝혔습니다.
이번 사건들이 동일한 해커나 조직에 의해 발생했는지는 아직 확정되지 않았습니다. 금융당국은 각 사고의 침해 경로와 공격방식을 조사하면서 사건 간 연관성, 동일 공격주체 여부, AI를 활용한 해킹 가능성 등을 정밀하게 확인하고 있습니다. 따라서 현재 단계에서 16개 금융회사가 모두 동일한 ‘AI 해킹 조직’의 공격을 받았다고 단정할 수는 없습니다.
금융권 전체에 대한 긴급 보안 점검에서도 상당수 취약점이 발견됐습니다. 금융당국이 555개 금융회사를 대상으로 12개 항목을 점검한 결과 130개사가 일부 미흡사항을 보고했습니다. 주요 문제는 최신 보안패치 미적용, 제조사 지원이 끝난 노후 시스템 관리 미흡, 24시간 실시간 관제체계 미구축, 다중인증(MFA) 등 강화된 인증절차 미도입 등이었습니다.
이에 금융당국은 단순한 사고 수습을 넘어 금융권 전체의 보안관리 체계를 다시 점검하기로 했습니다. 외부 인터넷과 연결된 접점을 모두 목록화하고 인증·접근권한을 강화하는 한편, 대형 금융회사의 취약점 점검 횟수를 현재보다 늘리고 필요할 경우 수시 점검할 수 있는 제도도 마련할 계획입니다.
AI를 이용한 공격에 대응하기 위한 새로운 보안체계도 추진됩니다. 금융회사가 자체적으로 발견한 공격정보를 금융권 공동 관제시스템에서 공유하고, AI를 이용해 외부 노출 자산이나 내부 소스코드의 취약점을 탐지하는 인프라도 구축할 예정입니다. 금융위는 중소 금융회사들이 AI 기반 공격에 대응할 수 있도록 공동 보안관제 시스템과 맞춤형 보안 지원방안도 검토하고 있습니다.
이번 사태를 계기로 금융회사 최고경영자와 정보보호최고책임자(CISO)의 책임도 강화될 전망입니다. 금융위는 보안점검 권고가 실제 현장에서 제대로 이행되도록 CEO와 이사회의 책임 범위를 보다 명확히 하고, 보안규정 위반에 대한 제재 실효성을 높이는 방안을 추진하겠다고 밝혔습니다.
개인정보가 유출된 만큼 2차 피해 가능성에도 주의가 필요합니다. 금융위원회는 유출 정보를 악용한 보이스피싱이나 스미싱 가능성이 있다며, 출처가 불분명한 문자메시지의 링크를 누르지 말고 금융회사나 정부기관을 사칭해 비밀번호·인증번호 등을 요구하는 경우 정보를 제공하지 말 것을 당부했습니다.