인공지능(AI)을 활용한 사이버공격이 금융권의 새로운 위협으로 부상했다. 신한은행과 KB국민은행, 하나은행에 이어 BNK부산은행에서도 정보유출이 확인됐다. 특히 인터넷뱅킹이나 모바일뱅킹 같은 핵심 금융거래 시스템이 아닌 영업지원시스템(ODS)과 직원용 업무지원시스템 등 외부 접점이 있는 주변 시스템이 연이어 공격 대상이 되면서 은행권의 보안 사각지대가 드러나고 있다.
이번 사태는 지난달 30일 신한은행에서 고객정보 유출이 발생하면서 본격화됐다. 신한은행에서는 약 2만5000명의 개인정보가 유출된 것으로 파악됐다. 고객명과 전화번호, 연소득, 대출 산출한도 등이 포함됐고 일부 주민등록번호와 연계정보(CI)도 노출됐다. 이날 농협, 우리은행에도 해킹 시도가 있었지만 정보 유출은 없었다.
공격 과정에서 AI 기반 침투테스트 도구와 관련된 흔적도 발견됐다. 공격자가 실제로 해당 도구를 사용했는지는 금융당국 조사가 진행 중이지만, AI를 활용해 취약점을 탐색하고 공격 경로를 자동화할 수 있다는 점에서 금융권의 경계감은 커지고 있다.
KB국민은행에서도 직원용 모바일 업무지원시스템을 겨냥한 외부 침입으로 고객정보가 유출됐다. 은행은 비정상적인 외부 접근을 확인한 뒤 관련 서버와 접속 경로를 차단했다.
하나은행에서는 고객 89명의 주민등록번호와 성명, 주소, 이메일 주소, 전화번호, 휴대전화번호, 직장명 등이 유출됐다. 외부 해킹 에이전트가 영업지원시스템(ODS)에 비정상적으로 접근하는 과정에서 발생한 것으로 은행은 파악하고 있다.
하나은행은 해당 시스템이 인터넷뱅킹이나 모바일뱅킹 등 금융거래 시스템과 별도로 운영돼 금융거래 정보 유출은 확인되지 않았다고 밝혔다. 해킹 여파는 지방은행으로도 번졌다. BNK부산은행에서는 이날 오전 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일 주소 등이 웹페이지에 노출된 사실이 확인됐다. 부산은행 역시 내부 직원용 모바일 영업지원시스템 등을 대상으로 한 해킹 공격 과정에서 사고가 발생한 것으로 추정하고 있다.
이번 연쇄 사고에서 공통적으로 눈에 띄는 부분은 ODS와 직원용 업무지원시스템 등 이른바 '주변 시스템'이다.
ODS는 은행 직원이 영업점 밖에서 고객 상담이나 영업 업무를 처리할 수 있도록 지원하는 시스템이다. 인터넷·모바일뱅킹과 같은 핵심 계정계 시스템과 분리돼 있더라도 고객정보나 내부 업무정보를 조회할 수 있어 공격자에게는 우회 침투 경로가 될 수 있다.
대출모집인이나 외주개발자, 영업직원 등 외부 또는 비대면 접점에서 활용되는 시스템도 마찬가지다. 고객이 직접 이용하는 금융 서비스보다 상대적으로 주목도가 낮지만 외부에서 접근할 수 있고 개인정보 조회 기능까지 갖추고 있다면 공격 대상은 넓어진다.
이날 금융위원회가 긴급 상황대응 회의를 열고 금융회사에 대고객 서비스 여부와 관계없이 외부에서 접근 가능한 모든 시스템을 점검하라고 지시한 것도 이런 이유다. 금융당국은 외부 노출 IT 자산을 전수 파악하고 인증 없이 내부정보에 접근할 수 있는 경로가 있는지 집중 점검하도록 했다.
특히 개인정보 조회 과정에서 인증 절차가 누락됐거나 접근통제가 느슨한 시스템이 있는지를 확인하도록 주문했다. 금융회사에 보안취약점 체크리스트를 제공하고 자체 점검 결과도 제출받을 예정이다.
◆보안 책임 강화에도 속수무책…내부통제 작동 점검
은행권의 보안 책임체계가 최근 크게 강화됐다는 점도 이번 사고와 맞물려 주목된다. 책임 체계 실효성 점검에도 들어갈 것으로 보인다.
전자금융감독규정 개정에 따라 금융회사 CISO는 정보보호위원회에서 심의·의결한 사안 가운데 전자금융거래의 안전성과 신뢰성에 중대한 영향을 미치는 내용을 이사회에 보고해야 한다. 정보보호 문제를 IT 부서 차원에 머물게 하지 않고 이사회까지 직접 보고하도록 책임 수준을 높인 것이다.
개인정보보호 책임도 강화됐다. 지난달 11일 시행된 개정 개인정보보호법은 대표자를 개인정보 안전처리와 정보주체 권리보호의 최종 책임자로 명시했다. CPO는 개인정보 보호 인력과 예산을 확보하고 주요 개인정보 보호 현황을 대표자와 이사회에 보고해야 한다.
일정 규모 이상의 개인정보처리자는 CPO를 지정하거나 변경할 때도 이사회 의결을 거쳐야 한다. 대규모 고객정보를 다루는 은행의 개인정보 보호 책임을 실무조직에서 경영진과 이사회까지 확대하는 방향이다.
책임체계가 강화됐지만 주요 은행에서 정보유출 사고가 연이어 발생하면서 실제 이사회 보고와 내부통제가 어떻게 작동했는지도 금융당국의 점검 대상이 될 전망이다.
사고가 발생한 ODS나 업무지원시스템이 기존 취약점 분석과 위험평가에 포함됐는지, 취약점이 발견됐다면 CISO와 경영진 또는 이사회에 보고됐는지, 이후 개선 조치가 이뤄졌는지가 핵심 확인 대상이다.
은행들이 수백억원의 정보보호 예산과 수십명에서 100명 안팎의 전담인력을 운용하고 있다는 점을 감안하면 점검 범위는 외부 노출 시스템 관리, 접근권한 설정, 인증체계, 외주·위탁업체 관리와 함께 사고 이전 내부 보고 절차 등 광범위해질 것으로 보인다.
금융당국은 신한은행 사고 이후 공격자 IP와 공격수법, 침해 시도 내역을 금융회사와 관계기관에 공유하고 있다. 금융사들이 동일하거나 유사한 공격을 받고 있을 가능성에 대비하기 위해서다.
금융권 관계자는 "유사 공격이 이어질 가능성이 높아 모니터링 수위를 강화하고 있다"고 말했다.
댓글
0