최근 인공지능(AI) 해킹 피해를 받은 금융사가 총 16개사로 늘어났다. 정보 유출 규모는 성명, 주민등록번호 등 약 10만 건에 달했다.
금융위원회·금융감독원은 14일 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 AI 해킹 침해사고 조사 결과를 발표했다.
당국에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전체 업권에 걸쳐 총 16개사다. 기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 DB저축은행, 산은캐피탈, 브라이트픽스, 스트리미, 프라뱅 등 5곳이 추가됐다.
정보 유출 규모는 성명과 연락처, 주민등록번호, 이메일 주소 등 10만 건으로 파악됐다. 직접적 부정결제 우려가 있는 정보 유출(계좌번호, 카드번호 등)은 확인되지 않았다고 당국은 설명했다. 다만 사고 발생 금융사와 유출 규모는 더 확대될 가능성이 있다. 현재도 금융회사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해 발생 여부를 확인하고 있기 때문이다.
아울러 당국이 지난 8일까지 진행한 전 금융권 555개사를 대상으로 체크리스트를 점검한 결과 130개사가 미흡 사항을 보고했다. 미흡 사항이 발견된 회사들은 상대적으로 보안역량이 약한 전금업·온투업 부문에서 많이 나왔다.
주요 미흡 사항은 △최신 보안패치 미적용 △제조사 기술지원 종료(EOS) 시스템 관리 미흡 △실시간(24시간) 관제체계 미구축 △공격표면 관리 미흡(대외시스템 대상 인증·인가 누락, 중요 서비스에 대한 강화된 인증절차(MFA) 미도입 등) 등이 보고됐다. 각 금융회사는 보완조치 실행계획을 함께 보고하고 즉시 조치에 나섰다.
당국은 금융회사 보안체계·관리시스템 전수점검을 추진하기로 했다. 전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화하고, 외부접점의 인증·접근통제 권한을 설정해 관리한다. 외부접점 관리 등 보안체계 운영·관리와 최고경영자(CEO), 정보보호최고책임자(CISO), 최고투자책임자(CIO) 등의 보고체계·책임 범위 등도 명확히 한다.
금융회사가 자체 파악한 위협정보도 통합관제시스템 등을 통해 공유할 수 있도록 시스템을 개선한다. 금융회사가 침해위협 정도를 직관적으로 확인·대응할 수 있는 AI 위협수준 정보체계를 마련하고 공격자 관점에서 외부 노출 자산, 내부 소스코드, 모바일 앱 등의 취약점을 탐지할 수 있도록 AI 기반 취약점 점검 인프라 구축도 추진한다.
공격표면·외부접점이 넓고 고객 수가 많은 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 확대한다. 중요한 외부접점 등은 필수 점검대상에 포함하는 방안을 추진한다. 긴급한 필요가 있을 경우 수시점검할 수 있는 근거를 마련하는 방안도 검토·추진할 예정이다.
AI 보안위협에 대해 충분한 대응 여력을 갖추기 어려운 중소형 금융회사 등의 경우 금융보안원이 각 업권 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축을 검토한다. AI 침해위협에 대비한 공격표면 점검(블랙박스 테스트), 중소형 금융회사 맞춤형 보안안내서 마련 등 방안도 추진한다.
그간 면밀한 관리가 어려웠던 대부업, 보험GA 등에 대해서도 AI 보안위협에 대한 대응요령을 신속히 전파하는 등 보안 강화방안도 조속히 검토·추진할 예정이다.
신진창 금융위 사무처장은 “그간 롯데카드 정보 유출, 미토스 쇼크 등으로 여러 차례 전수점검과 관리 강화를 주문했지만, 금융회사에서 기본적인 부분이 잘 지켜지지 않은 사례가 발견된 것은 매우 뼈아픈 부분”이라고 지적했다. 그러면서 “전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반을 철저히 재점검하고 근본적 제도개선이 이뤄지도록 하겠다”며 “‘AI 공격은 AI로 방어’하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다”고 말했다.