당국, AI 해킹 점검 결과 공개
보안·관리시스템 전수점검 방침
CEO·CISO 책임 범위 명확화
최근 금융권에서 잇따라 발생한 해킹 사고로 금융회사 16곳에서 약 10만건의 정보가 유출된 것으로 확인됐다.
금융위원회·금융감독원은 14일 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 AI 해킹 침해사고 점검 결과를 밝혔다. 당국에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전체 업권에 걸쳐 총 16개사로 파악됐다.
기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다. DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했고, 가상자산업권에선 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다.
성명, 연락처, 주민등록번호, 이메일 주소 등 현재까지 확인된 금융사 정보 유출 규모는 약 10만건이다. 당국은 현재도 금융사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해 발생 여부를 확인 중이며, 사고 발생 금융사 수는 더 확대될 수 있다고 설명했다. 다만 유출된 정보 중 계좌번호·카드번호처럼 직접적으로 부정 결제에 쓰일 만한 우려가 있는 건은 확인되지 않았다고 덧붙였다.
금융당국은 지난 8일까지 전 금융권 555개사를 대상으로 체크리스트를 점검한 결과, 130개사가 ‘미흡 사항’을 보고했다고 밝혔다. 특히 전금업·온투업에서 미흡 사항이 다수 발견됐다.
주요 미흡 사항은 최신 보안패치 미적용, 제조사 기술지원 종료(EOS) 시스템 관리 미흡, 실시간(24시간) 관제 체계 미구축, 공격표면 관리 미흡 등이다. 공격 표면과 관련해선 대외시스템 대상 인증·인가 누락, 중요 서비스에 강화된 인증 절차(MFA) 미도입이 지적됐다. 해당 금융회사는 보완 조치 실행계획을 보고하고 추가 조치를 하고 있다.
당국은 점검 결과를 토대로 금융회사 보안 체계·관리시스템 전수점검을 추진할 방침이다. 우선 전산시스템이 외부와 연결되는 모든 접점을 목록화하고, 인증·접근통제 권한을 명확히 설정해 관리하도록 한다. 최고경영자(CEO), 정보보호최고책임자(CISO), 최고투자책임자(CIO) 등의 보고체계와 책임 범위도 명확히 한다.
강나리기자 nnal2@idaegu.co.kr
댓글
0