금융사 16곳 해킹·10만 건 유출…5대 은행장 국감, 보안점검 555곳 중 130곳 '미흡'

금융권 연쇄 해킹이 개인정보 유출 규모와 보안 관리 책임 문제로 번지면서 19일 5대 시중은행장이 국회 정무위원회 금융감독원 국정감사 증인석에 선다. 금융위원회가 14일 배포한 보도참고자료에 따르면 신한은행 사고 전후로 침해사고가 확인된 금융회사는 은행·저축은행·상호금융·여전업·전자금융업·온라인투자연계금융업·가상자산사업자 등 전 업권 16개사이고, 유출된 정보는 약 10만 건이다. 금융위는 금융회사들이 공유된 공격 IP로 침해 여부를 계속 확인하고 있어 사고 회사 수가 더 늘어날 수 있다고 밝혔다.

유출 정보는 성명·연락처·주민등록번호·이메일 등이다. 금융위는 계좌 비밀번호나 카드번호처럼 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다고 설명했다. 다만 주민등록번호와 연락처가 함께 빠져나간 사고에서는 직접 결제 피해가 없더라도 사칭 접근 같은 2차 피해를 따로 관리해야 한다는 부담이 남는다. 은행별로는 신한은행에서 고객 2만5,700여 명, KB국민은행과 하나은행에서 각각 119명과 89명의 정보가 빠져나갔고, 우리은행과 NH농협은행은 비슷한 공격을 받았지만 현재까지 유출은 확인되지 않은 것으로 알려졌다. 공격 주체의 동일성과 인공지능 활용 여부는 당국이 조사 중이어서 확정된 사실이 아니다.

금융당국은 지난 8일까지 전 금융권 555개사에 12개 항목 체크리스트 점검을 실시했다. 425개사는 '적정'으로 제출했고 130개사는 미흡 사항이 있다고 보고했다. 미흡 회사 대부분은 보안패치와 관제체계 관련 한두 개 항목에서 보완이 필요했고, 상대적으로 보안 역량이 약한 전자금융업과 온라인투자연계금융업에서 미흡 사항이 많았다. 주요 지적은 최신 보안패치 미적용, 제조사 기술지원이 끝난 시스템 관리 미흡, 24시간 관제체계 미구축, 외부 시스템 인증·접근통제와 강화된 인증절차 미도입이다. 이 결과는 금융회사가 스스로 점검해 제출한 것이므로 실제 취약 수준은 이후 전수점검에서 다시 가려질 몫이다.

국감 쟁점은 사고 대응뿐 아니라 사고 이전의 보안 투자와 취약점 관리로 옮겨가고 있다. 박성훈 국민의힘 의원실이 전산장애 발생 상위 20개 금융회사를 분석한 결과 지난해 정보보호 예산 집행률은 69.6%였고, 우리은행 53.8%, KB국민은행 58.1%, 신한은행 69.9%로 집계됐다고 한다. 박상혁 더불어민주당 의원은 최근 5년간 20개 은행의 모의해킹에서 발견된 취약점 약 4,770건 가운데 109건이 아직 보완되지 않았다고 주장했고, 주요 은행의 지난해 정보보호 투자금액이 2022년보다 5.9% 줄어든 반면 은행권 이자이익은 같은 기간 55조9천억 원에서 60조4천억 원으로 늘었다고 지적했다. 이들 수치는 의원실 분석으로, 집계 대상과 산정 기준은 은행과 금융당국의 설명을 함께 확인해야 한다. 이억원 금융위원장도 8일 국감에서 금융권 AI 해킹에 대한 대응 방식이 아주 기본적인 부분도 굉장히 미흡하다고 말했다.

금융당국은 후속 대책으로 보안체계 전수점검, 금융회사가 자체 파악한 위협 정보의 통합관제시스템 공유, 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 늘리는 방안, 중소형 금융사 지원, CEO·CISO·CIO 책임 범위 명확화를 제시했다. 현재 취약점 점검·평가는 연 1회, 외부 홈페이지는 연 2회가 의무다. 결국 관건은 점검 횟수를 늘리는 데 그치지 않고 발견된 취약점이 실제 보완으로 이어지는지, 보안 예산이 집행되는지, 경영진 책임이 어디까지 미치는지에 달려 있다. 이번 국감에서 은행장들의 설명이 이 질문에 얼마나 구체적으로 답하는지가 향후 제도개선의 강도를 가늠하는 첫 신호가 될 수 있다.