[화담일보=박준수기자] 은행 직원이 휴대전화로 쓰는 업무용 앱, 비대면 계좌개설을 잇는 연계 서버. 9월 말부터 이어진 금융권에 해킹 공격이 드나든 통로다. 고객의 돈이 오가는 핵심 거래시스템은 멀쩡했지만 주변 시스템이 줄줄이 뚫렸다. 금융위원회는 오는 5일 금융감독원, 금융보안원, 5대 시중은행장 등이 참석하는 AI 해킹 대응 점검회의를 열고 대책을 내놓는다.
연쇄 해킹의 시작은 신한은행이었다. 9월 30일 대출모집인 서비스에서 본인확인 절차를 우회한 비인가 접근이 확인됐고, 고객 약 2만5700명의 이름과 전화번호, 소득·대출 정보가 빠져나간 것으로 알려졌다. KB국민은행은 직원용 모바일 업무지원 시스템을 통한 해킹이 발생했다. 10월 2일 피해자가 119명이라고 발표했지만 재검증 끝에 2091명을 더 찾아내 10월 26일 2210명으로 바로잡았다. 이름, 전화번호, 주소와 암호화된 주민등록번호가 유출됐다.
피해는 컸다. 대신증권은 10월 17일 투자일임 비대면 계좌개설 연계서버에서 비정상 접근을 발견했고, 열흘가량 조사한 끝에 고객 3만8490명의 정보가 유출됐다고 28일 밝혔다. 가상자산 거래소 빗썸에서는 사내 모바일 그룹웨어가 뚫렸다. 금융당국이 10월 14일 집계한 침해 금융회사는 16곳, 유출 규모는 약 10만 건이었고 그 뒤로 대신증권과 미래에셋생명 등이 더해졌다. 당국은 계좌 비밀번호나 카드번호는 유출되지 않았고 부정 송금 같은 2차 피해도 확인되지 않았다고 했다.
금융위가 555개 금융회사에 12개 항목으로 보안점검을 시켰더니 130곳이 미흡 사항을 보고했다. 보안패치를 적용하지 않았거나, 제조사 지원이 끝난 시스템을 그대로 두었거나, 실시간 관제체계를 갖추지 않은 곳들이다. 외부 시스템에 인증·인가 절차가 빠진 경우도 있었다. 전자금융업체와 온라인투자연계금융업체처럼 규모가 작은 회사가 많았다. 신진창 금융위 사무처장은 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례 전수점검과 관리 강화를 주문했지만 금융사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 말했다.
대응이 늦었다는 지적도 있다. 연합뉴스에 따르면 KB국민은행은 9월 27일 첫 접근을 확인하고도 해당 IP 하나만 막았다. 공격자는 이틀 뒤 베트남 IP로 다시 들어왔다.
AI가 공격에 쓰였는지는 아직 확인되지 않았다. 보안업체 크라우드스트라이크는 10월 7일 보고서에서 국내 금융기관 공격에 AI 침투테스트 도구가 쓰였다고 밝혔다. 대형언어모델(LLM)을 붙여 취약점을 찾고 침투 경로를 짜는 도구다. 금융당국은 AI가 실제로 쓰였는지, 사고들이 같은 공격자의 소행인지 조사하고 있다.
경영진 책임 문제도 걸려 있다. 이찬진 금감원장은 10월 19일 국정감사에서 이번 사고가 "내부통제 관리 의무가 있는 사이버보안 해킹 사고와 관련된, 아마 최초의 CEO에 관한 책임 문제가 다루어지는 사안이 될 것"이라고 했다. 피해를 피한 정진완 우리은행장은 같은 자리에서 하루 200건가량의 해킹 시도가 들어온다고 밝혔다.
당국은 대형 금융사의 취약점 점검을 연 2회 이상으로 늘리고, 외부와 닿는 접점을 필수 점검 대상에 넣는 방안을 검토하고 있다. 자체 보안 인력과 예산이 부족한 중소형 금융사를 위한 AI 기반 공동 보안관제 시스템도 논의 대상이다. 구체적인 내용은 5일 회의가 지나야 윤곽이 보일 것이다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
