회장들 불러 'AI 해킹' 경고했는데…4개월 만에 뚫린 금융권

(서울=뉴스1) 전준우 기자 = 금융위원회가 지난 6월 5대 금융지주 회장들을 직접 불러 인공지능(AI) 시대 사이버 보안을 최고경영자(CEO)가 챙겨야 할 핵심 경영 과제로 주문했지만, 불과 넉 달 만에 금융권이 AI를 활용한 것으로 추정되는 해킹 공격에 무더기로 노출됐다.

현재까지 드러난 정황을 보면 방어 자체가 어려운 초고난도 공격보다는 상대적으로 관리가 소홀했던 '외곽 시스템'의 허점을 파고든 공격에 무게가 실린다. 이에 따라 실제 고객정보 유출로 이어지지 않은 금융사라도 법상 요구되는 안전성 확보 의무를 소홀히 한 사실이 확인되면 제재를 피하기 어려울 전망이다.

6일 금융권에 따르면 이억원 금융위원장은 지난 6월 10일 KB·신한·하나·우리·NH농협 등 5대 금융지주 회장단을 소집해 사이버 보안을 그룹 CEO가 직접 챙겨야 할 핵심 경영 과제로 강조했다.

당시 이 위원장은 "기존보다 훨씬 빠르게 보안 취약점을 탐지할 뿐만 아니라 스스로 해킹을 기획·실행하는 능력까지 갖춘 AI가 등장하고 있다"며 "지주회사가 중심이 돼 전 계열사의 전산 자원을 관리하고, 보안 패치와 위기 대응 체계를 철저히 점검해야 한다"고 당부했다.

금융지주 회장들도 AI 기반 보안관제 시스템과 모의해킹 솔루션 도입, 지주 차원의 보안 전담조직인 '레드팀' 운영 현황 등을 공유하며 정부와 긴밀하게 협력하겠다고 밝혔다.

하지만 불과 넉 달 만에 5대 은행 모두 최근 금융권을 겨냥한 것으로 추정되는 공격자의 사정권에 들어온 정황이 확인됐다.

특히 이번 공격은 모바일뱅킹이나 핵심 데이터베이스(DB) 등 금융회사의 핵심 거래 시스템이 아니라 직원이나 대출모집인 등이 이용하는 상대적으로 관리가 취약한 '외곽 시스템'에 집중됐다.

공격 대상도 은행에 그치지 않았다. 저축은행과 캐피탈, 온라인투자연계금융업체(온투업) 등 여러 금융업권에서 유사한 공격 정황이 포착됐다. 이 가운데 신한은행에서는 2만5727건, 예가람저축은행에서는 약 4만명의 고객정보가 실제 유출된 것으로 확인됐다.

금융당국은 이번 사태를 엄중하게 보고 금융회사별 보안 관리 실태와 법 위반 여부를 들여다보고 있다. 조사 결과에 따라 전자금융거래법과 신용정보법 등에 따른 제재 수위가 결정될 전망이다.

관건은 '정보가 실제 유출됐느냐'만이 아니다.

고객정보가 빠져나가지 않았더라도 금융회사가 해킹 공격에 대비해 법적으로 요구되는 안전조치를 제대로 갖추지 않았다면 별도의 책임을 질 수 있기 때문이다.

전자금융거래법상 금융회사는 정보처리시스템 보호대책과 프로그램 변경통제, 공개용 웹서버 관리대책, 내부 업무용 시스템 및 정보처리시스템의 망분리 등 각종 기술적·관리적 안전성 확보 의무를 준수해야 한다. 이번 조사에서 이런 의무를 소홀히 한 사실이 확인될 경우 실제 정보 유출 여부와 별개로 제재 대상이 될 수 있다.

실제 고객정보 유출까지 발생한 금융사의 책임은 더 무거워질 수 있다. 신용정보법과 전자금융거래법 등에 따라 유출 규모와 안전관리 의무 위반 정도 등을 따져 과징금은 물론 기관 및 관련 임직원에 대한 제재가 내려질 수 있다.

금융당국 관계자는 "현재까지 나온 정황을 보면 이번 해킹 공격이 방어 불가능한 수준의 공격은 아닌 것으로 보인다"며 "금융권이 상대적으로 중요도가 낮다고 판단한 외곽 서버 관리에 소홀했던 측면이 있는 만큼 조사를 거쳐 법 위반 사항이 확인되면 엄정하게 조치할 방침"이라고 말했다.

이번 사태는 연말 금융지주 계열사 CEO 인선에도 영향을 미칠 가능성이 있다.

4대 금융그룹은 지난달 말 일제히 자회사 CEO 경영승계 절차에 착수했다. 특히 핵심 계열사인 은행장 선임 과정에서 임원후보추천위원회(임추위)의 독립성과 역할이 강화된 가운데, 이번 사고를 계기로 내부통제와 사이버 보안 관리 책임도 후보 평가 과정의 주요 변수로 부상할 전망이다.

junoo5683@news1.kr