올해부터 연 1회에서 연 2회로 확대…훈련 대상·기간·공격 유형 모두 강화
대고객 생성형 AI 서비스 대상 ‘AI 레드티밍’ 첫 실시
불시 DDoS·서버해킹·모의침투로 탐지·차단·비상대응 체계 점검
외부 접속 인프라·네트워크 취약점·보안 업데이트 적정성 집중 확인
공통 취약점 전 금융권에 공유…침해사고 예방 체계 강화
◆…금감원은 금융보안원과 함께 오는 5월부터 6월까지 2026년 상반기 '금융권 블라인드 모의해킹 훈련'을 실시한다고 밝혔다. 사진=조세일보 DB
금융감독원이 금융권 사이버 위협 대응 역량 강화를 위해 올해 블라인드 모의해킹 훈련을 연 2회로 확대한다. 특히 금융회사의 대고객 생성형 인공지능(AI) 서비스까지 점검 대상에 포함해 새로운 유형의 보안 위협에 대한 대응 체계를 살펴볼 방침이다.
금감원은 금융보안원과 함께 오는 5월부터 6월까지 2026년 상반기 '금융권 블라인드 모의해킹 훈련'을 실시한다고 밝혔다. 하반기 훈련은 별도 일정에 따라 추가로 진행된다.
블라인드 모의해킹은 공격 일시와 대상을 사전에 공개하지 않은 상태에서 화이트해커가 불시 공격을 수행하는 방식의 훈련이다. 이를 통해 금융회사의 해킹 탐지·방어 능력과 비상 대응 체계가 실제 위협 상황에서 제대로 작동하는지 점검한다.
올해 훈련은 기존 연 1회에서 연 2회로 확대된다. 훈련 대상과 기간, 공격 유형도 넓어진다. 최근 금융권을 겨냥한 사이버 공격이 고도화되고 침해사고 유형도 다양해지는 만큼 보다 강도 높은 사전 예방 체계를 구축하겠다는 취지다.
가장 눈에 띄는 변화는 'AI 레드티밍'의 첫 도입이다. AI 레드티밍은 해커 관점에서 AI 모델과 서비스의 취약점을 찾아내고 대응 적정성을 점검하는 모의해킹 기법이다. 금감원은 금융회사들이 고객에게 생성형 AI 서비스를 제공하는 과정에서 정보 유출 가능성, 비정상 응답 유도, 악의적 프롬프트 공격 등 새로운 보안 위협에 적절히 대응할 수 있는지 확인할 계획이다.
전통적인 사이버 공격 대응 훈련도 강화된다. 금감원과 금융보안원은 불시 DDoS 공격, 서버 해킹, 모의 침투 훈련 등을 통해 금융회사의 해킹 탐지 및 차단 역량을 점검한다. 아울러 내부 대응 절차가 신속하고 적정하게 작동하는지도 중점적으로 살필 예정이다.
현장 방문 훈련의 범위도 대폭 확대된다. 최근 침해사고의 주요 원인으로 지목되는 외부 접속 인프라, 네트워크 취약점, 보안 업데이트 관리 실태 등을 면밀히 점검해 실제 사고로 이어질 수 있는 위험 요소를 사전에 확인하겠다는 방침이다.
이종오 디지털·IT 부원장보는 "이번 훈련은 4월 7일 발표한 '사전예방적 디지털 리스크 감독방안'의 하나로 추진하는 것"이라며 "횟수·기간·대상을 대폭 확대했을 뿐만 아니라 침해사고를 유발하는 주요 취약점은 물론 대고객 AI서비스를 겨냥한 신종 보안 위협까지 훈련 범위에 포함해 실효성 있게 실시한다"라고 밝혔다.
이어 "그런 만큼 금융회사의 사이버위협 대응역량을 강화하고 침해사고를 예방하는 데 도움이 될 것으로 기대한다"라고 덧붙였다.
금감원은 훈련 결과 드러난 취약점에 대해 참가 금융회사가 즉시 보완하도록 조치할 계획이다. 또한 공통적으로 발견된 주요 취약점과 개선 필요 사항은 다른 금융회사에도 전파해 금융권 전반의 보안 역량을 끌어올린다는 방침이다.
특히 '고성능 AI 모델의 악용 가능성' 등 최근 제기되는 AI 기반 신규 사이버 위협도 지속적으로 모니터링하고 이러한 위협이 금융권 보안에 미치는 영향을 검토해 향후 모의해킹 훈련에 반영해 나갈 예정이다.
댓글
0