[사설] 나날이 발전하는 해킹, 따라가지 못하는 금융권 보안 실태

잊을만하면 터지는 대형 해킹사고가 일상화 되어가고 있다. 최근 국내 주요 은행을 비롯해 저축은행과 캐피털, 상호금융까지 금융권 전반에서 동시다발적인 침해사고가 발생했다. 특히 이번 공격은 인터넷·모바일뱅킹 같은 핵심 전산망이 아니라 직원용 업무 지원시스템, 영업 지원시스템, 외부에 노출된 웹서비스 등 상대적으로 관리가 허술했던 보안의 틈을 파고들었다.

오늘날 해커의 공격 기술은 AI를 활용해 자동화·대량화되는 단계로 진화하고 있는데 금융회사들의 대응은 여전히 사고가 터진 뒤에야 원인을 찾고 대책을 내놓는 수준에 머물러 있다. 금융회사들은 그동안 막대한 돈을 정보보호에 투자하고 24시간 보안관제, 레드팀·블루팀, AI 기반 방어 체계 등을 구축했다고 홍보해 왔다. 그런데도 수만 명의 고객정보가 유출되고, 공격이 수십 시간 동안 이어진 뒤에야 침해 사실을 파악하고 “예상하지 못한 새로운 공격”이라는 변명을 반복하고 있다.

해킹 기술이 빠르게 발전한다는 사실이 상식이 된 지 오래다. 빠른 속도로 발전하고 있는 AI가 공격자의 정찰과 취약점 탐색, 공격 실행을 자동화할 가능성을 전문가는 지속적으로 경고해 왔다. 그렇다면 금융회사들이 해야 할 일은 사고가 난 뒤 허둥지둥 취약점을 찾아내는 것이 아니라, 공격자가 찾아오기 전에 스스로 공격자의 입장에서 끊임없이 자신의 시스템을 공격하고 점검해야만 했다.

따라서 이제는 책임의 방식을 바꿔야 한다. 고객 개인정보를 대규모로 보유·관리하는 금융회사와 기업에 대해서는 사고 발생 시 실질적인 징벌적 책임을 물어야 한다. 단순한 과징금이나 형식적인 제재로는 경영진에게 보안 투자가 ‘비용’으로만 보이는 구조를 바꿀 수 없다. 사고가 발생했을 때 부담해야 할 벌금과 배상액이 사고 예방에 투자하는 비용보다 훨씬 크도록 제도를 재설계해야 한다.

금융권이 관리하는 개인정보는 금융 기관의 소유물이 아니라, 금융 기관이 관리하는 국민의 자산이다. 그 자산을 지키지 못했다면 그에 상응하는 책임을 져야 한다. 이제는 해킹사고가 날 때마다 ‘철저히 조사하겠다’라며 재발방지를 약속하는 것에 그쳐서는 안 된다. 보안에 투자하지 않는 것이 보안에 투자하는 것보다 훨씬 비싸다는 것을 각인시켜야만 해킹사고를 줄일 수 있다. 그것이 끊이지 않는 해킹사고의 악순환을 끊는 가장 현실적인 해법이다.