|데일리포스트=송협 대표기자| “AI니 디지털금융이니 아무리 떠들어도 고객 개인정보 하나 제대로 못 지키면 무슨 소용인지 모르겠습니다. 믿고 돈을 맡기는 시중은행까지 줄줄이 해킹을 당하면 도대체 어디를 믿으라는 건지 불안할 수밖에 없습니다. 보여주기식 디지털 경쟁에 돈을 쏟기 전에 구멍 난 보안시스템부터 제대로 고치고 투자했으면 좋겠습니다.” (KB국민은행 이용자 황OO씨)
금융권이 AI와 디지털금융 혁신을 앞세워 미래 금융을 외치고 있지만 정작 고객의 자산과 개인정보를 지켜야 할 기본적인 보안망은 잇따라 뚫리고 있다. 기술 경쟁에 앞서 취약한 보안시스템에 대한 투자와 관리를 강화해야 한다는 비판이 나오는 이유다.
국정감사를 앞두고 5대 시중은행이 모두 외부 해킹 공격을 받은 것으로 확인되면서 금융권 보안관리가 도마 위에 올랐다. 신한·KB국민·하나은행에서는 실제 고객정보가 유출됐고 우리·NH농협은행은 공격을 차단했다. 피해가 제2금융권으로 번지자 금융당국은 전 금융권 최고경영자(CEO)를 긴급 소집했다.
■ 5대 은행 모두 해킹 공격…‘주변부 시스템’ 보안 구멍
피해 규모가 가장 큰 신한은행에서는 외부 공격자가 본인확인 절차를 우회해 대출 관련 서비스에 접근하면서 약 2만5000명의 개인·신용정보가 유출됐다. 고객명과 전화번호, 연소득, 대출 산출한도와 주민등록번호 66건, 개인식별 연계정보(CI) 97건 등이 포함됐다.
KB국민은행에서는 직원용 모바일 업무지원시스템이 공격받아 고객 119명의 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 유출됐다. 하나은행에서도 영업지원시스템(ODS)에 비정상적인 접근이 발생해 고객 89명의 주민등록번호와 성명, 주소, 이메일, 전화번호, 직장명 등이 빠져나갔다.
우리은행과 NH농협은행도 유사한 공격을 받았지만 현재까지 정보 유출은 확인되지 않았다.
이번 사태는 금융사들이 AI와 디지털 전환을 핵심 성장전략으로 내세운 상황에서 발생했다는 점에서 보안 투자의 실효성을 둘러싼 논란을 키우고 있다. 첨단 서비스 확대만큼 기존 시스템의 취약점을 찾아내고 고객정보를 보호하는 것이 디지털금융의 기본이라는 지적이다.
특히 공격은 인터넷·모바일뱅킹 등 핵심 금융거래망보다 대출조회와 직원·영업지원 시스템, 외부 웹페이지 등 ‘주변부 시스템’에 집중됐다. 핵심 전산망 위주의 방어만으로는 금융서비스 전반이 연결된 디지털 환경의 공격을 막는 데 한계가 있다는 점을 드러냈다.
금융권은 외부에 노출되거나 핵심 시스템과 연계된 서비스의 인증·접근통제 취약점이 공격 통로로 활용됐는지 살펴보고 있다.
■ 제2금융권까지 번진 해킹…유출 정보 ‘2차 범죄’ 우려
피해는 지방은행과 제2금융권으로도 확산했다. BNK부산은행에서는 외부 웹서버 공격 이후 일부 웹페이지를 통해 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일 주소가 노출된 정황이 확인됐다. 고객정보 유출은 확인되지 않았다.
예가람저축은행에서는 고객 약 4만명의 개인정보가 유출된 것으로 추정된다. 현대캐피탈에서도 주택대출 모집인 조회페이지가 공격받아 모집인 146명의 이름과 휴대전화번호, 이메일, 주민등록번호 등 일부 정보가 유출됐다.
문제는 보안 실패가 사고 자체로 끝나지 않는다는 점이다. 일부 사고에서는 주민등록번호와 주소, 연소득, 대출 관련 정보까지 유출됐다. 한번 빠져나간 개인정보는 사실상 회수가 어려워 피싱·스미싱·명의도용 등 후속 범죄 위험을 소비자가 장기간 떠안을 수 있다.
금융사가 시스템을 복구하고 공격 IP를 차단해도 개인정보가 유출된 고객에게 사고가 종료되는 것은 아니다. 디지털 전환의 편익은 금융사와 소비자가 함께 누리지만 보안 실패의 후유증은 개별 소비자에게 집중될 수 있다는 비판이 나오는 배경이다.
■ 금융당국 전방위 점검…국감서 ‘보안 투자·대응 격차’ 도마
금융당국은 전 금융권의 외부 노출 시스템과 인증·접근통제 체계를 점검하고 있다. 금융사들도 공유된 공격 IP를 자체 접속 기록과 대조해 침해 여부를 확인 중이다. 금융감독원은 사고 금융사의 유출 규모와 침해 경로, 사고 인지·대응 과정 등을 살펴보고 있다.
이번 사태는 국정감사에서도 주요 현안으로 다뤄질 전망이다. 동일·유사한 공격에도 일부 금융사는 침입을 막은 반면 다른 곳에서는 개인정보가 유출된 만큼 금융사별 보안체계와 사고 탐지·대응 역량의 격차가 쟁점이 될 가능성이 있다.
AI와 디지털금융 투자에 걸맞은 정보보호 인력·예산을 확보했는지도 점검 대상이다. 외부 업무시스템의 인증 취약점을 사전에 발견하지 못한 이유와 자체 침해 탐지 여부, 외주업체·대출모집인·직원용 시스템의 개인정보 접근권한 관리 실태도 따져볼 대목이다.
첨단 AI 서비스를 확대하는 것보다 고객정보가 오가는 접점을 지키는 것이 금융사의 기본 책무라는 지적이 나온다. 기본적인 보안망을 갖추지 못한다면 AI와 디지털 혁신도 소비자의 신뢰를 얻기 어렵다는 것이다.
Copyright ⓒ 데일리 포스트 무단 전재 및 재배포 금지
