금융권 16곳 침해사고·정보 약 10만 건 유출…130곳 보안관리 미흡

금융권에서 잇따라 발생한 해킹·정보유출 사고와 관련해 금융위원회가 총 16개 금융회사와 관련 사업자의 침해사고를 확인했다. 금융당국이 파악한 정보 유출 규모는 약 10만 건이며, 전 금융권 555개사를 대상으로 실시한 긴급 보안점검에서는 130개사가 보안패치와 보안관제, 인증·접근통제 등 일부 항목의 미흡사항을 보고했다. 금융당국은 금융회사별 보안 취약점에 대한 보완조치를 지도하는 한편, 외부 연결 시스템 관리와 금융권 공동 위협정보 공유체계, 취약점 평가제도를 강화하기로 했다.

금융위원회는 14일 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원(KISA) 등이 참석한 제2차 긴급 상황대응 회의를 열고 침해사고 조사경과와 보안점검 결과, 제도개선 방향을 발표했다. 금융권에서는 이번 사고 이전부터 취약점 분석·평가기준 개정과 모의해킹 확대, 소프트웨어 공급망 보안관리 강화 등이 진행돼 왔지만, 이번 자체점검에서도 기본적인 보안관리 항목의 개선 필요사항이 확인됐다. 금융위는 기존 점검제도의 적용 범위와 보완조치 이행수단을 강화하고, 개별 금융회사가 탐지한 침해위협 정보도 금융권 공동 대응에 활용하도록 관리체계를 개선할 방침이다.

금융권 침해사고에 대응해 금융회사별 보안체계와 공동 위협정보 공유망을 강화하는 모습. 금융당국은 외부 연결 시스템의 취약점 점검과 접근통제, 통합 보안관제체계 개선을 추진하고 있다. AI그래픽=데일리뉴스

은행·저축은행 등 16곳 침해사고…공격 경로·AI 활용 여부 조사

금융위원회가 확인한 침해사고 기관은 은행 4곳, 저축은행 4곳, 여신전문금융회사 2곳, 온라인투자연계금융업체 2곳, 가상자산사업자 2곳, 전자금융업체 1곳, 상호금융기관 1곳 등 모두 16곳이다. 은행권에서는 신한은행과 KB국민은행, BNK부산은행, 하나은행이 포함됐으며, 저축은행은 예가람·웰컴·DB·OK저축은행이 확인됐다. 여신전문금융회사에는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업체에는 PFCT와 모우다가 포함됐다. 브라이트픽스, 스트리미, 프라뱅, 새마을금고중앙회도 금융당국이 확인한 기관에 해당한다.

금융당국은 14일 기준 확인된 정보 유출 규모를 약 10만 건으로 집계했다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일주소 등이 포함됐다. 금융위는 같은 발표에서 계좌 비밀번호와 카드번호처럼 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다고 설명했다. 다만 정보 유출 건수는 금융회사별 사고를 통해 확인된 기록을 집계한 수치로, 이를 고유 피해자 수와 동일하게 해석할 수는 없다.

금융당국은 침해사고가 확인된 금융회사에 공격에 이용된 인터넷주소(IP) 차단과 보안패치 적용, 필요시 관련 서비스 중단 등 추가 피해 방지조치를 실시하도록 지도하고 있다. 개인정보 유출이 발생한 경우에는 피해 고객에게 유출 사실과 대응요령을 안내하도록 하고, 금융감독원과 금융보안원의 현장조사를 통해 침입 경로와 사고 경위를 분석하고 있다. 여러 금융회사의 사고가 동일한 공격자에 의해 발생했는지, 공격 과정에서 인공지능(AI) 도구가 활용됐는지도 조사 대상에 포함됐다. 금융회사들은 공유된 공격 IP와 침해정보를 자체 접속기록과 대조하며 추가 침해 여부를 점검하고 있다.

금융회사 130곳 보안관리 미흡…패치·관제·인증체계 점검 강화

금융당국이 10월 8일까지 실시한 전 금융권 긴급점검에서는 555개사 가운데 425개사가 12개 점검항목을 적정하게 관리하고 있다고 제출했고, 나머지 130개사는 일부 미흡사항이 있다고 보고했다. 미흡사항을 제출한 회사는 전체의 약 23.4%로, 금융위에 따르면 대부분 보안패치와 보안관제 관련 1~2개 항목에서 개선 필요사항이 발견됐다. 업권별로는 전자금융업과 온라인투자연계금융업에서 상대적으로 미흡사항이 많이 보고됐다.

주요 미흡사항은 최신 보안패치 미적용과 제조사의 기술지원이 종료된 시스템에 대한 관리 부족, 24시간 실시간 보안관제체계 미구축 등이다. 외부에 공개된 서비스에서 인증·인가 절차가 누락된 사례와 중요 서비스에 다중요소인증(MFA)이 적용되지 않은 사례도 확인됐다. 보안패치는 알려진 소프트웨어 취약점을 보완하기 위한 조치이며, 제조사의 기술지원이 종료된 시스템은 새로운 취약점에 대한 보안 업데이트를 제공받기 어려울 수 있어 별도의 위험관리가 필요하다.

인증·접근통제 문제는 외부 이용자가 금융회사 시스템에서 어떤 정보까지 조회할 수 있는지와 관련된다. 인증은 서비스 이용자의 신원을 확인하는 과정이고, 인가는 인증된 이용자가 접근할 수 있는 정보와 기능의 범위를 결정하는 절차다. 이용자의 신원이 확인됐더라도 필요한 권한을 별도로 검증하지 않으면 정상적인 접속 경로를 통해 허용 범위를 벗어난 정보가 조회될 수 있다. 금융위가 외부 서비스의 인증·인가 누락과 중요 서비스의 다중요소인증 미도입을 주요 미흡사항으로 제시한 것도 이러한 접근통제체계와 관련돼 있다.

금융위는 미흡사항을 보고한 금융회사들이 보안패치 적용과 노후 장비 교체, 관제 인력·설비 확충, 인증범위 확대 및 접근통제 강화 등의 보완조치를 시행하도록 지도하고 있다. 이번 수치는 금융회사들이 제출한 자체점검 결과이며, 침해사고가 확인된 16곳과는 구분되는 보안관리 현황이다. 금융당국은 긴급 체크리스트 점검에 이어 외부 연결 시스템과 인증체계, 내부통제 및 경영진 보고체계까지 포함하는 보안관리 전반의 전수점검을 추진할 계획이다.

외부 연결 시스템 관리 확대…금융회사 자체 탐지정보도 공동 공유

금융위가 제시한 개선방안은 개별 금융회사의 전산시스템 보안관리와 금융권 전체의 공동 대응체계를 함께 강화하는 데 초점을 맞추고 있다. 먼저 금융회사마다 외부와 연결된 모든 시스템과 서비스의 목록을 작성하고 실제 운영 상태에 맞게 지속적으로 관리하도록 할 계획이다. 외부접점별 인증방식과 접근권한을 명확히 설정하고, 시스템 운영과정에서 보안정책이 적절하게 적용되는지 확인하는 절차도 강화한다.

금융회사 내부의 보안관리 책임체계 역시 점검 대상이다. 금융위는 최고경영자(CEO), 정보보호최고책임자(CISO), 정보기술최고책임자(CIO)의 보고체계와 책임범위를 명확히 하도록 지도·감독하겠다고 밝혔다. 취약점 분석·평가와 보안점검에서 확인된 문제에 대해 개선계획을 수립하고 보완조치를 이행하는 과정까지 관리하도록 경영진의 책임을 강화한다는 방침이다.

개별 금융회사의 관리 강화와 함께 금융권 공동 관제시스템의 정보공유 방식도 개선한다. 현재 금융감독원과 금융보안원이 확인한 해킹위협 정보는 금융권 통합관제시스템인 FIRST 등을 통해 금융회사에 전파되고 있다. 그러나 금융회사가 자체 관제 과정에서 탐지한 위협정보는 공동 공유체계에 충분히 반영되지 않는다는 것이 금융위의 설명이다. 이에 따라 금융회사가 직접 발견한 공격정보도 통합관제시스템으로 공유하고, 다른 금융회사들이 이를 침해위협 탐지와 대응에 활용할 수 있도록 시스템을 개선할 계획이다.

AI 기반 보안점검과 위협분석 기능도 확대한다. 금융위는 외부에 노출된 시스템뿐 아니라 내부 소스코드와 모바일 애플리케이션의 취약점을 공격자 관점에서 분석하는 AI 기반 점검 인프라를 구축하기로 했다. 금융회사들이 위협 수준을 파악하는 데 활용할 수 있는 AI 기반 정보체계도 마련할 예정이다. 보안 인력과 예산이 상대적으로 부족한 중소형 금융회사에 대해서는 금융보안원과 업권별 협회·중앙회가 공동으로 활용할 수 있는 AI 보안관제시스템 구축을 검토하고, 외부 공격표면 점검과 보안안내서 제공 등 지원방안도 추진한다.

취약점 평가기준 이미 확대…공급망 보안 플랫폼 178개 금융회사 참여

금융권에서는 이번 침해사고 이전부터 전산시스템의 취약점을 발견하고 대응하기 위한 점검기준과 기술적 인프라를 확대해 왔다. 금융보안원은 지난해 12월 발표한 2026년도 취약점 분석·평가기준 개정에서 기술지원과 보안패치 제공이 종료된 시스템의 위험관리 기준을 강화했다. 퍼블릭 클라우드 관리체계를 새로운 평가 분야로 도입하고, 운영체제와 웹 애플리케이션 서버 등 미들웨어의 평가기준도 세분화했다. 이어 올해 3월에는 평가 범위를 기존 14개 분야 789개 항목에서 15개 분야 869개 항목으로 확대했다고 발표했다.

금융보안원은 올해 종합점검과 개별 분야 점검, 공개용 홈페이지 점검 등을 통해 178개 금융회사를 대상으로 취약점 분석·평가를 추진했다. 금융감독원과 금융보안원은 4월 블라인드 모의해킹 훈련을 기존 연 1회에서 상·하반기 연 2회로 확대하는 계획도 발표했다. 이 훈련은 공격 시점과 대상을 금융회사에 미리 알리지 않고 실제 공격을 모의해 침입 탐지와 차단 능력, 사고 대응 절차를 점검하는 방식이다. 올해 훈련계획에는 서버 침투와 분산서비스거부(DDoS) 공격 외에 생성형 AI 서비스의 정보유출 가능성과 비정상적인 응답 유도를 점검하는 AI 레드티밍도 포함됐다.

소프트웨어 공급망의 취약점을 공동으로 관리하는 인프라도 운영 중이다. 금융보안원은 올해 2월 소프트웨어 구성명세서(SBOM) 관리와 취약점 통합관리, 버그바운티 기능을 갖춘 금융권 소프트웨어 공급망 보안 플랫폼을 가동했다. 이 플랫폼은 금융회사와 소프트웨어 개발사, 화이트해커가 참여해 취약점을 발굴하고 검증한 뒤 보안패치를 개발·적용하는 과정을 연결한다. SBOM은 프로그램을 구성하는 소프트웨어 부품과 버전, 구성 요소 간 관계를 기록한 자료로, 특정 부품에서 새로운 취약점이 발견됐을 때 영향을 받는 시스템을 파악하는 데 활용된다.

금융보안원이 9월 21일 공개한 운영 실적에 따르면 해당 플랫폼에는 금융회사 178곳과 화이트해커 601명, 소프트웨어 개발사 31곳이 참여했다. 금융보안원은 플랫폼 운영 이후 참여 금융회사를 대상으로 총 1,316건의 취약점 조치요청을 발송했으며, 소프트웨어 개발사에 대한 패치 개발 요청 건수는 전년보다 5.7배 증가했다고 밝혔다. SBOM 관리 기능은 55개 프로젝트에서 활용됐고, 국내외 약 35만 건의 공개 취약점 정보(CVE)가 연계됐다. 이는 금융회사들이 공통으로 사용하는 소프트웨어의 취약점을 확인하고 개발사의 패치와 금융회사의 후속조치를 연결하기 위한 운영 실적이다.

이처럼 금융권에서는 취약점 평가기준 확대와 모의해킹, 소프트웨어 공급망 보안 플랫폼 운영이 진행돼 왔으며, 10월 긴급점검에서는 보안패치와 시스템 관리, 관제체계 관련 미흡사항이 추가로 보고됐다. 금융보안원의 178개사 취약점 분석·평가, 공급망 플랫폼 참여회사 178곳, 금융위의 555개사 긴급 자체점검은 각각 대상과 목적이 다른 절차다. 금융당국은 개별 시스템의 취약점 점검과 공동 대응체계 운영에 더해, 금융회사 전체의 보안관리와 보완조치 이행을 강화하는 방향으로 제도개선을 추진하고 있다.

금융위, 취약점 평가주기·보완조치 이행수단 강화 추진

금융위는 이번 침해사고와 긴급점검 결과를 바탕으로 기존 취약점 분석·평가의 실시 횟수와 점검범위를 확대하고, 보완조치 이행수단을 강화하기로 했다. 현행 규정상 금융회사와 전자금융업자는 원칙적으로 연 1회 이상 취약점 분석·평가를 실시해야 하며, 외부 공개용 홈페이지는 연 2회 이상 점검하도록 규정돼 있다. 금융위는 대형 금융회사를 중심으로 평가주기를 연 2회 이상으로 확대하고 주요 외부접점을 필수 평가대상에 포함하는 방안을 추진한다.

긴급 상황에서 수시점검할 수 있는 근거를 마련하고, 보안관리 책임과 제재의 실효성을 높이는 제도개선도 검토한다. 기존 평가체계의 점검주기와 범위를 확대하는 동시에, 평가 결과에 따라 필요한 보완조치가 실제로 이행되도록 관리체계를 강화하는 것이 주요 방향이다.

금융당국은 침해사고의 공격 경로와 사건별 연관성을 조사하면서 긴급점검에서 보고된 미흡사항에 대한 보완조치도 지도·감독하고 있다. 금융위는 외부접점과 인증관리, 금융권 공동 보안관제, 경영진 책임체계를 포함한 전반적인 보안관리체계 개선을 추진하고, 구체적인 점검범위와 시행방안을 금융권과 협의해 마련할 계획이다.