금융당국 "금융사 해킹 37개곳 40건…자금탈취 10억 원"

지난 한 달여간 금융권 37개사에서 약 47만 3,000건의 정보가 유출되고, 회사가 관리하는 자금 약 10억 원이 탈취된 것으로 파악됐습니다.

금융당국은 약 580개사를 대상으로 보안 실태를 전수점검하고, 중대한 관리 부실에는 최고경영자(CEO)의 책임까지 묻기로 했습니다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원, 전 금융권 협회장, 관계부처가 참여하는 간담회를 열고 침해사고 현황과 보안체계 개선 방안을 논의했습니다.

지난 9월 30일 첫 침해사고가 확인된 이후 이달 3일까지 접수된 신고는 37개사, 40건입니다.

업권별로는 전자금융업이 10개사로 가장 많았고, 금융투자와 저축은행 각 5개사, 은행과 온라인투자연계금융업 각 4개사, 보험과 가상자산 각 3개사, 여신 2개사, 상호금융 1개사입니다.

유출 정보에는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐습니다.

다만 계좌 비밀번호 등 부정 결제로 이어질 우려가 있는 정보의 유출은 아직 확인되지 않았다고 금융위는 설명했습니다.

자금 탈취는 주로 소규모 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서 발생했습니다.

인터넷에 연결된 가상자산 보관 지갑인 핫월렛과 소비성 포인트, 온투업 예치금 등 회사 관리 자금이 대상이었으며, 개별 이용자의 자금 손실은 아직 현실화하지 않은 것으로 당국은 파악하고 있습니다.

금융당국은 기존 금융회사뿐 아니라 전자금융업·온투업과 전자금융거래법 적용 대상이 아닌 가상자산업까지 포함해 약 580개사의 보안 취약점을 전수점검합니다.

외부 접점 관리와 의사결정 절차, 경영진과 보안·정보기술 담당 임원의 역할 등 내부통제 운영 실태도 살필 예정입니다.

관리대장에 등록된 시스템은 이달 30일까지, 미등록 시스템과 내부통제체계는 연말까지 점검을 마칠 방침입니다. 자체 점검이 부실하거나 중대한 취약점이 발견된 회사에는 금감원과 금융보안원이 현장 점검에 나섭니다.

당국은 이번 점검에서 드러난 취약점과 기존 관리 부실은 즉각적인 보완을 전제로 유연하게 처리하되, 점검 이후 발생하는 침해사고에는 엄정 대응하기로 했습니다.

이 위원장은 "중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 밝혔습니다.

공동 대응체계도 강화합니다. 금융권 통합관제시스템인 FIRST를 고도화해 다음 달 시범 운영하고, 내년 1분기에는 전 금융권이 활용할 수 있도록 할 계획입니다.

가상자산업자가 한국인터넷진흥원뿐 아니라 금감원과 금융보안원에도 침해사고를 즉시 신고하도록 하는 가이드라인은 이달 중 마련합니다.

대형 금융사의 취약점 분석·평가는 연 2회 실시하고 모든 외부 접점을 평가 대상에 포함하도록 의무화할 방침입니다. 긴급한 경우 당국이 수시 평가를 요구하고, 시정명령을 이행하지 않으면 이행강제금을 지속적으로 부과하는 방안도 추진합니다.

중소형 금융사에는 금융보안원의 AI 방어 서비스와 맞춤형 보안 지침 등을 지원합니다.

유출 정보가 보이스피싱 등 2차 범죄에 악용되는 것을 막기 위해 다크웹의 개인정보 유통을 감시하고 차단하기로 했습니다.

금융권 공동 보이스피싱 정보공유·분석플랫폼인 ASAP를 고도화해 범죄계좌 탐지와 동결을 지원하고, AI 기반 '의심 거래 판단지수'도 이달부터 시범 도입합니다. 금융사가 보이스피싱 피해금의 일정 부분을 보상하는 무과실책임 제도 도입을 위한 입법도 지원할 계획입니다.

AI를 보안 업무에 활용할 수 있도록 망 분리 규제 개선도 병행합니다. 당국은 관련 태스크포스를 가동하고, 보안 목적의 AI·서비스형 소프트웨어(SaaS) 활용을 위한 규제 완화를 상시 제도화할 방침입니다.

내년 1분기에는 '디지털금융안전법' 마련도 추진합니다. 가상자산업자와 법인보험대리점 등에 전자금융거래법 수준의 보안 규율을 적용하고, 클라우드 사업자와 플랫폼 등 제3자에 대한 규율도 포함할 계획입니다.