새마을금고에서 해킹 공격을 받은 사실이 당국에 접수된 것으로 확인된 가운데 14일 서울 시내 한 새마을금고 지점 모습.연합뉴스

- 보안 체계 전수점검 추진키로

신한은행을 시작으로 AI 해킹 침해가 확인된 국내 금융회사가 전체 업권을 통틀어 현재까지 총 16곳, 10만 건 규모로 파악됐다.

금융위원회·금융감독원은 이날 오후 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 AI 해킹 침해사고 점검 결과를 이같이 밝혔다. 당국에 따르면 기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다. DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했으며, 가상자산업권에서는 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다. 성명, 연락처, 주민등록번호, 이메일 주소 등 현재까지 확인된 금융사 정보 유출 규모는 약 10만 건이다.

당국은 “현재도 금융사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해 발생 여부를 확인 중”이라며 “사고 발생 금융사 수는 이보다 더 확대될 수 있다”고 말했다. 다만 유출된 정보 중에 계좌번호·카드번호처럼 직접적으로 부정 결제에 활용될 만한 우려가 있는 건은 확인되지 않았다고 밝혔다.

당국이 지난 8일까지 전 금융권 555개사를 대상으로 체크리스트를 점검한 결과, 130개사가 ‘미흡 사항’을 보고했다고 밝혔다.

특히 전금업·온투업에서 미흡 사항이 많이 발견됐다. 주요 미흡 사항은 ▷최신 보안패치 미적용 ▷제조사 기술지원 종료(EOS) 시스템 관리 미흡 ▷실시간(24시간) 관제 체계 미구축 ▷공격표면 관리 미흡 등이다. 공격 표면과 관련해서는 대외시스템 대상 인증·인가 누락, 중요 서비스에 강화된 인증 절차(MFA) 미도입이 지적됐다. 해당 금융회사는 보완 조치 실행계획을 보고하고 추가 조치 중이다.

당국은 금융회사 보안 체계·관리시스템 전수점검을 추진한다. 우선 전산시스템이 외부와 연결되는 모든 접점을 목록화하고, 인증·접근통제 권한을 명확히 설정해 관리하도록 할 방침이다. 최고경영자(CEO), 정보보호최고책임자(CISO), 최고투자책임자(CIO) 등의 보고체계와 책임 범위도 명확히 하도록 한다. 금융회사 간 위협정보 공유도 활성화한다. 금융회사가 자체 파악한 위협정보도 통합관제시스템(FIRST)을 통해 공유할 수 있도록 시스템을 개선하고, 금융회사가 침해 위협 정도를 확인할 수 있는 AI 위협 수준 정보체계도 마련할 계획이다. AI 기반 취약점 점검 인프라도 구축한다.

아울러 대형 금융회사의 취약점 점검·평가 주기를 연 1회에서 연 2회 이상으로 확대할 계획이다.