[금융사 정보유출] 한 달간 37개 금융사서 47만여 건 정보 유출…이억원 위원장 "보안 부실 시 CEO 책임 엄정 문책"

[CBC뉴스] 최근 금융권에서는 37개 금융사에서 총 47만3천건에 달하는 정보 유출과 약 10억원 규모의 자금 탈취가 발생한 것으로 집계됐다. 이와 관련해 금융위원회는 전 금융권을 대상으로 보안체계 혁신과 취약점 점검에 나서기로 했다.

금융당국은 전통 금융업뿐만 아니라 전자금융업, 온라인투자연계금융업(온투업) 및 전자금융거래법 적용 대상이 아닌 가상자산업권까지 포함해 약 580여개사를 전수점검 대상으로 정했다. 이 과정에서 금융사 내부통제 운영실태, 최고경영자(CEO)와 정보보호최고책임자(CISO), 최고투자책임자(CIO)의 역할 및 책임, 외부접점 관리와 의사결정 절차 등도 함께 점검한다. 관리대장에 등재된 시스템에 대한 조사는 이달 30일까지, 미등재 시스템과 내부통제체계 전수조사는 연말까지 마무리할 방침이다. 점검은 금융사가 자체적으로 진행하되, 점검 결과가 미흡하거나 중대한 취약점이 발견될 경우 금융감독원과 금융보안원이 직접 현장 점검에 나선다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원, 금융보안원, 각 금융권 협회장 및 관계부처와 함께 인공지능(AI) 시대에 대응한 보안체계 혁신 간담회를 열고 현황을 점검했다. 9월 30일 첫 침해사고가 확인된 이후 지난 3일까지 37개사에서 40건의 침해신고가 접수됐다. 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 상호금융 1개사, 여신 2개사, 온투업 4개사, 전자금융업 10개사, 가상자산 3개사 등 다양한 업권이 포함됐다. 체크리스트 점검이 끝난 지난달 14일 이후에는 주로 중소규모 증권·보험사, 전자금융업, 온투업, 가상자산업에서 추가 신고가 이어졌다.

유출된 정보에는 임직원 정보, 고객 성명, 주민등록번호, 계좌번호 등이 포함됐으나, 계좌 비밀번호 등 부정 결제 위험이 큰 정보의 유출은 아직 확인되지 않았다. 탈취된 자금은 소규모 가상자산거래소, 전자금융업, 온투업에서 주로 발생했으며, 핫월렛에 보관된 디지털자산, 소비성 포인트, 온투업 예치금 등 회사가 관리하는 자금이 대상이었다. 그러나 개별 이용자의 자금 손실은 아직 발생하지 않은 것으로 파악됐다. 금융당국은 전자금융거래법과 가상자산이용자보호법을 근거로 소비자 보호 조치를 지도 및 감독하고 있다.

보안 취약점 점검과 제도 개선도 추진된다. 대형 금융사는 통합관제시스템(FIRST)을 고도화해 다음 달 시범운영에 들어가고, 내년 1분기에는 전 금융권이 활용할 수 있도록 확대한다. 전자금융거래법이 적용되지 않는 가상자산업의 경우, 한국인터넷진흥원(KISA)뿐 아니라 금융감독원과 금융보안원에도 즉시 신고하도록 신고대응 가이드라인이 이달 중 마련된다. 또한 대형 금융사는 취약점 분석 및 평가 주기를 연 2회로 단축하고, 모든 외부 접점을 평가 대상에 포함하는 의무가 부과된다. 당국은 필요시 수시 평가를 요구할 수 있도록 하며, 시정명령 미이행 시 이행 강제금 부과 방안도 추진한다. 중소형 금융사에는 금융보안원의 AI 방어 서비스와 맞춤형 보안 안내서, 단계별 경보체계와 행동 요령 등이 지원된다.

2차 피해 방지를 위해 금융권은 다크웹 등에서 개인정보가 유통되는지 모니터링하고, 차단 조치도 병행한다. 공동 보이스피싱 정보공유·분석플랫폼(ASAP)은 고도화되어 범죄계좌 탐지와 동결이 신속하게 이뤄지며, AI 기반 의심 거래 판단지수도 이달부터 시범 도입된다. ASAP에는 대포계좌, 신종 스캠 등 다양한 범죄수법을 탐지하는 공동탐지룰이 포함된다. 또한 보이스피싱 피해금에 대해 금융사가 일정 부분을 보상하는 무과실책임 제도 도입을 위한 통신사기피해환급법 개정안 입법도 지원한다.

AI 기반 보안체계 구축을 위해 망분리규제 전면해제 태스크포스(TF)가 본격적으로 운영되며, 비조치의견서를 통한 보안 목적 AI·SaaS 활용 망 분리 규제 완화 조치는 상시 제도화된다. 혁신서비스 도입을 통한 망 분리 규제 완화도 추진된다. 금융당국은 전 금융권에 전산보안 규율을 확립하기 위한 디지털금융안전법을 내년 1분기 중 마련할 계획이다. 가상자산업자, 법인보험대리점(GA) 등에도 전자금융거래법 수준의 보안 규율이 적용되고, 클라우드 사업자와 플랫폼 등 제3자도 규율 대상에 포함된다.

이억원 금융위원장은 보안상 위험을 인지하고도 방치하거나 기본적인 관리조차 소홀히 해 사고가 발생하는 경우, CEO 등 경영진의 책임을 엄정하게 묻겠다고 밝혔다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자