이억원 “AI 활용 해킹 가능성”…전 금융권 긴급 보안점검
서울 영등포구 여의도 KB국민은행(왼쪽부터), 중구 신한·우리은행, 인천 청라 하나금융그룹. 사진=강민혜 기자
[주간한국 강민혜 기자] 금융당국이 최근 은행과 저축은행, 캐피탈 등에서 잇따라 발생한 정보 유출 사고와 관련해 인공지능(AI)을 활용한 공격 가능성을 열어두고 전 금융권에 긴급 보안점검을 지시했다. 현재까지 정보 유출이 확인된 금융사는 7곳으로 늘었다.
이억원 금융위원장은 4일 정부서울청사에서 ‘최근 침해위협 대응 전 금융권 긴급 점검회의’를 열고 “주요 시중은행뿐 아니라 저축은행, 캐피탈 등 여러 업권에서 침해사고가 단기간에 다수 발견되고 있다”며 “AI를 활용한 공격 가능성도 배제할 수 없다”고 말했다.
이 위원장은 “금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점”이라며 외부에 노출된 정보기술(IT) 자산과 서비스, 인증·접근통제, 침해활동 탐지체계 등 보안체계 전반을 점검하라고 주문했다.
금융당국이 파악한 이번 공격의 특징은 상대적으로 보안 관리가 취약했던 외부 접점을 노렸다는 점이다. 대출모집인이나 임직원 등이 업무상 사용하는 외부 웹페이지와 서버, 업무지원 서비스 등이 공격 대상이 됐다. 일부 서비스에서는 본인 인증이나 모바일 단말기 접근통제가 제대로 이뤄지지 않았거나 알려진 웹 취약점이 방치된 사례가 확인됐다.
공격 과정에서 AI 도구가 활용된 정황도 포착됐다. 금융당국에 따르면 최근 침해사고가 발생한 여러 금융사에서 동일 공격자의 인터넷주소(IP)가 발견됐다. 공격자는 IP를 바꿔가며 공격을 이어갔으며 AI 도구를 이용해 다수 금융사를 상대로 자동화된 공격을 벌인 것으로 당국은 보고 있다. 다만 공격 주체와 AI 활용 여부 등에 대한 조사는 아직 진행 중이다.
현재까지 정보 유출이 확인된 금융사는 신한은행, KB국민은행, 하나은행, BNK부산은행과 현대캐피탈, 예가람저축은행, 웰컴저축은행 등 7곳이다. 새마을금고와 농협 상호금융 등에서도 유사한 침입 시도가 있었지만 정보 유출 피해는 확인되지 않았다.
금융당국은 이번 사고를 정보조회 서비스, 직원 업무지원 서비스, 홈페이지 서비스 등 3개 유형으로 나눠 대응하고 있다. 인증 절차가 빠진 서비스는 전수조사해 오류를 수정하거나 서비스를 차단하고, 직원 업무지원 서비스는 사전에 등록된 단말기만 접속할 수 있도록 접근통제를 강화하도록 했다. 알려진 취약점을 이용한 공격이 확인된 홈페이지도 취약점을 보완하거나 서비스를 차단하도록 했다.
금융감독원은 약 500개 금융회사에 공격 IP와 보안 유의사항을 전파했다. 은행과 카드사는 오는 6일까지, 증권·보험·저축은행·전자금융업자 등은 오는 8일까지 긴급 점검을 마쳐야 한다. 외부 노출 IT 자산과 서비스, 공격 IP 차단과 피해 여부 등 12개 항목을 점검하고 미흡한 부분은 즉시 보완해야 한다.
금융당국은 당초 연휴 기간 금융회사들이 자체 점검을 실시한 뒤 오는 7일 결과를 보고받을 예정이었다. 하지만 연휴 사이 피해가 저축은행과 캐피탈 등 2금융권으로 확산하자 일정을 앞당겨 이날 전 금융권 긴급 점검회의를 열었다. 회의에는 은행·금융투자·보험·여전·저축은행·상호금융·가상자산·핀테크 등 금융권 협회장과 침해사고가 발생한 금융회사 임원들이 참석했다. 이찬진 금융감독원장도 참석했다.
현재까지 부정결제 등에 직접 이용될 수 있는 민감정보가 유출된 정황이나 인터넷·모바일뱅킹 등 대고객 서비스 피해, 금전 피해는 확인되지 않았다. 다만 금융당국은 유출된 개인정보가 보이스피싱이나 스미싱 등에 악용될 가능성을 배제할 수 없다고 보고 있다.
금융당국은 과학기술정보통신부, 개인정보보호위원회, 경찰청 등 관계기관과 공조해 추가 침해 여부를 확인하고 사고가 발생한 금융회사에 대한 현장점검도 이어갈 방침이다.
이 위원장은 “이미 공유된 공격정보와 사고사례가 있음에도 필요한 점검과 대응을 소홀히 해 유사한 사고가 발생한다면 관련 법령에 따라 엄정히 책임을 묻겠다”고 강조했다.
앞서 지난 7월 우리은행서도 외부 개발업체가 임의로 보관하던 개인정보 1만7551건이 외부 업체 직원 과실로 유출됐다. 당시 유출된 정보는 고객 닉네임과 연계정보(CI)다. 회원 ID와 로그인 계정, 비밀번호, 금융거래 정보는 유출되지 않았다.
이 위원장은 이날까지 유출된 정보와 관련해 “현재까지 부정결제 등에 직접 활용될 수 있는 민감한 정보가 유출된 정황이 확인되지 않았다”면서도 "유출된 정보를 악용한 보이스피싱·스미싱 등 2차 피해로 이어질 가능성도 배제할 수 없다"며 "긴장의 끈을 놓지 않고 선제적으로 대응해야 한다”고 당부했다.
강민혜 기자 mine@hankooki.com
댓글
0