‘보안 기본’ 소홀한 틈 노려…감시 덜한 외부 접점 집중 공격받아
현재 ‘망만 끊으면 안전’ 패러다임, 최신 방어용 AI 도입에 한계
“AI 해킹을 AI로 방어” “핵심 전산망 보호 이점”…망 완화 이견
불안한 시민들
5일 서울 시내 한 건물에 주요 은행의 ATM이 설치돼 있다. 연합뉴스
금융권 전반을 뒤흔든 대규모 해킹 사태로 금융보안의 방향을 둘러싼 논의가 불붙고 있다. 은행의 내부 업무망과 외부 인터넷망을 분리해 놓고도 정보가 새 나간 만큼 인공지능(AI) 해킹 공격을 AI 기술로 방어할 수 있도록 ‘망분리 완화’에 속도를 내야 한다는 주장도 제기된다.
5일 금융감독원·금융보안원은 신한은행 등 피해 금융사를 대상으로 현장 조사를 이어가고 있다. 금융당국은 전 금융권에 보안점검 체크리스트를 배포했으며, 은행과 카드사는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 긴급 자체점검을 마쳐야 한다.
이번 해킹은 AI가 활용된 공격이긴 하지만 새로운 수법은 아니라는 평가다. 공격은 은행 전산망의 ‘정문’이 아닌 상대적으로 감시가 덜한 ‘뒷문’에 집중됐다.
2만5727건이 유출된 신한은행에서는 대출모집인용 서비스가 통로가 됐다. 같은 공격을 받고도 우리은행·NH농협은행에서는 정보 유출이 확인되지 않았다. 우리은행은 업무시스템 접속에 아이디·비밀번호 외에 생체인증을 추가로 요구하고, 농협은행은 대출모집인에게 내부 시스템 접속 경로를 열어두지 않은 것으로 알려졌다. 이상근 고려대 정보보호대학원 교수는 “이번 사건은 기존 공격 기법의 ‘자동화’에 가깝다”며 “예전이라면 (시차를 두고) 띄엄띄엄 벌어졌을 사건인데, 이제는 누구나 도구를 설치하기만 하면 국내 금융권 전체를 한 번에 훑을 수 있어 속도가 훨씬 빨라졌다”고 말했다.
이번 사태가 금융권 망분리 논쟁으로 번진 이유도 여기에 있다. 망분리는 금융사의 업무용 내부망을 인터넷과 물리적으로 떼어 놓아 외부 침입이 내부로 번지지 못하게 하는 조치다. 2013년 사이버테러를 계기로 도입됐다. 망분리는 외부 인터넷을 통한 침입이 내부 핵심 전산망으로 번지는 것을 막는 데 효과적이지만 이번 공격처럼 외부에 열어둔 별도 시스템을 통해 개인정보에 접근하는 공격까지 막아주는 것은 아니다. ‘망만 끊어 놓으면 안전하다’는 패러다임이 한계를 드러냈다고 지적되는 대목이다.
무엇보다도 공격자는 AI로 취약점 탐색을 빠르게 자동화하는데, 방어자인 금융권은 망분리에 묶여 최신 AI를 쓰지 못하는 비대칭성이 문제로 꼽힌다.
이번 공격에 활용된 것으로 알려진 중국어 기반의 AI 침투테스트 도구 ‘아르텍스(ARTEX)’도 원래는 방어자가 자기 시스템의 취약점을 공격자보다 먼저 찾아내도록 돕는 도구다. 곽진 아주대 사이버보안학과 교수는 “AI 도구는 공격자가 쓰면 공격 도구가, 방어자가 쓰면 방어 도구가 된다”고 말했다.
금융당국은 지난 5월부터 보안 목적으로는 생성형 AI 등을 쓸 수 있도록 망분리 규제를 긴급 완화했고, 현재 금융사 10곳이 1차 테스트에 참여하고 있다.
다만 현재 망분리가 핵심 전산망을 보호하는 이점도 분명한 만큼, 기본적인 보안 통제를 강화하면서 망분리 규제 완화는 신중히 이뤄져야 한다는 지적도 나온다. 최경진 가천대 법학과 교수(개인정보전문가협회장)는 “망분리 완화는 기존 계획대로 가되, 보안 능력 강화와 반드시 같이 가야 한다”며 “외부 AI는 보안 능력을 높이는 여러 도구 중 하나”라고 말했다.
영문번역(English Translation)
댓글
0