금융권에 침해사고가 연이어 발생하면서 금융당국은 전통 금융업부터 가상자산·전자금융·온라인투자연계금융업(온투업)까지 포함한 580여 개사를 대상으로 외부접점과 내부통제체계 전수점검을 본격화한다. 9월 30일 첫 침해사고 확인 이후 11월 3일 기준 37개 금융사에서 40건의 침해신고가 있었으며, 유출된 개인정보는 약 47만 3천건, 탈취된 자금은 약 10억원에 달한다. 이와 같은 상황에 대처하기 위해 금융위원회는 5일 여의도 금융보안원에서 ‘AI 시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 보안 관리 부실에 대한 최고경영자(CEO) 책임 묻기와 AI 기반 방어 체계 구축 등 포괄적인 대책을 발표했다.
전수점검 범위와 일정
금융당국은 은행·증권·보험 등 전통 금융업뿐 아니라 전금업·온투업·가상자산사업자까지 포함해 전체 IT자산의 외부접점·내부통제 실태를 전수점검한다. 점검 대상은 홈페이지·고객서비스·직원관리·제휴업무 등 외부에서 접근 가능한 모든 업무영역을 포함한다. 인증·접근통제 시스템, 영업·관리 목적 API, 개발·테스트·임시운영 시스템 등 최근 침해가 집중된 시스템까지 빠짐없이 점검한다. 또한 각 회사의 CEO·CISO·CIO 등 주요 임원의 역할·책임, 외부접점 생성·폐기 절차, IT자산 관리대장 운영 여부 등을 검증한다. 관리대장에 등재된 시스템은 11월 30일까지, 미등재 시스템 및 내부통제 전수조사는 12월 31일까지 마무리한다.
침해사고 현황과 2차 피해 방지 대책
| 항목 | 수치 |
|---|---|
| 침해사고 발생 금융사 | 37개 |
| 침해신고 건수 | 40건 |
| 유출 개인정보 규모 | 473,000건 |
| 탈취된 자금 규모 | 10억원 |
유출된 정보는 임직원 및 고객의 성명·주민등록번호·계좌번호 등이며, 계좌 비밀번호 등 부정결제 위험 정보는 아직 확인되지 않았다. 일부 소규모 가상자산거래소·전금업·온투업에서는 회사가 관리하던 자금이 탈취돼 약 10억원 규모의 손실이 보고되었지만, 개인 이용자의 실제 손실은 현재까지 현실화되지 않은 것으로 파악됐다. 금융당국은 다크웹·텔레그램 등 온라인 채널을 상시 모니터링하고, AI를 활용해 범죄계좌와 의심거래를 조기에 탐지하는 ‘ASAP’ 플랫폼에 ‘의심거래 판단지수’를 도입해 2차 피해를 차단한다. 또한 보이스피싱 피해에 대한 무과실책임 법제화 방안을 추진한다.
AI 기반 신보안체계와 규제 완화 추진
‘AI 공격은 AI로 방어한다’는 원칙 아래 금융당국은 ‘망분리규제 전면해제 TF’를 가동해 AI·SaaS 활용을 위한 망분리 규제 완화를 상시 제도화한다. 대형 금융회사는 자체 탐지 시스템(FIRST)을 통해 공격 방식·IP·취약점·악성코드 정보를 실시간으로 공유하고, 내년 1분기 전 금융권 전면 적용을 목표로 시범운영을 진행한다. 또한 ‘디지털금융안전법’을 내년 1분기 중 마련해 전통 금융권뿐 아니라 가상자산업자·클라우드·플랫폼 등 제3자까지 포괄하는 보안 규율을 도입한다. 금융위원장은 “보안상의 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하는 행태는 용납하지 않겠다”며 “중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 엄정하게 묻겠다”고 강조했다.
중소형 금융회사 지원과 제도 개선
중소형 금융회사는 보안 전문인력·예산이 부족한 상황이다. 금융보안원은 AI 기반 ‘원스톱 AI 방어 서비스’를 제공해 외부접점·취약요인 탐색부터 위험 우선순위·조치방안까지 원스톱 지원한다. 맞춤형 보안 안내서와 단계별 경보체계·행동요령도 제공해 실무 적용을 돕는다. 또한 취약점 분석·평가 주기를 연 1회에서 2회로 확대하고, 전자금융거래와 직·간접적으로 연계된 모든 외부접점을 평가 대상에 포함하도록 의무화한다. 점검주기 단축·수시평가·이행강제금 제도는 전자금융감독규정 개정안에 포함돼 11월 중 규정변경을 예고한다.
금융당국은 전수점검 이후에도 침해사고가 발생하면 점검 실태를 면밀히 검토해 책임을 묻는다. 전수점검 결과를 바탕으로 ‘보안 내부통제 가이드라인’을 내년 1분기 중 마련·시행하고, 공동 해킹 관제시스템 고도화와 가상자산업계 신고·전파 체계도 11월 중 정비한다. 향후 12월부터 순차적으로 지원 사업을 전개해 전 금융권이 일관된 보안 수준을 유지하도록 할 방침이다.
---
**앞으로의 일정**
- 11월 30일: 관리대장 등재 시스템 전수점검 완료
- 12월 31일: 미등재 시스템 및 내부통제 전수조사 완료
- 내년 1분기: 보안 내부통제 가이드라인 시행, FIRST 통합관제시스템 전면 활용, 디지털금융안전법 초안 발표
- 11월 중: 가상자산·전자금융·온투업 신고·전파 가이드라인 마련
- 12월부터: 중소형 금융회사 대상 원스톱 AI 방어 서비스 순차 제공
출처 : 해당 기관 보도자료
· · · · · · · · · ·
관련기사
▶ 가장 가까운 위협으로부터 국민이 안심할 수 있도록... 경찰청, 관계성 범죄 전수점검 결과 발표
· · · · · · · · · ·
한국사회복지저널은 AI 기술의 도움을 받아 보도자료와 복지 정보를 보다 쉽고 정확하게 전달하기 위해 노력하고 있습니다.
