최근 금융권에서 해킹 사고가 잇따르고 있지만, 금융당국이 실시한 모의해킹 훈련에는 실제 사고가 발생한 시스템이 포함되지 않았던 것으로 나타났다. 금융회사들의 해킹 대응 역량을 점검하기 위한 훈련이 실제 보안 취약점을 제대로 짚어내지 못했다는 지적이 나온다.
20일 국회 정무위원회 소속 김형연 조국혁신당 의원이 금융감독원으로부터 제출받은 ‘2025년~2026년 블라인드 모의해킹 훈련 운영 현황’에 따르면, 두 해 모두 훈련 대상의 ‘사고 서비스 포함 여부’는 ‘없음’으로 기재됐다.
블라인드 모의해킹은 금융회사에 공격 시점과 대상을 사전에 알리지 않고 화이트해커가 실제 해킹과 유사한 방식으로 공격을 시도하는 훈련이다. 이를 통해 금융회사의 해킹 탐지·차단 능력과 비상 대응 체계를 점검한다.
금감원과 금융보안원이 공동 주관하는 해당 훈련에는 지난해와 올해 각각 은행 4곳을 포함한 금융회사 20곳이 참여했다.
훈련 대상은 디도스(DDoS) 대응 시스템과 대표 홈페이지 웹서버 일부, 가상사설망(VPN), 모바일기기관리(MDM) 시스템 등이었다. 올해는 일부 인공지능(AI) 서비스도 추가됐다.
반면 올해 9월 이후 실제 해킹 사고가 발생한 곳은 외부와 연결된 업무지원 시스템에 집중됐다. 신한은행의 대출모집인용 조회 서비스, KB국민은행의 직원용 모바일 업무지원 시스템, 하나은행의 임직원용 영업지원 시스템, 부산은행의 외주관리 시스템 등이 대표적이다.
고객이 이용하는 대표 홈페이지보다 대출모집인이나 임직원, 외주업체 등이 접속하는 업무용 시스템에서 보안 취약점이 드러난 셈이다.
금감원 역시 김 의원실에 제출한 답변에서 “이번 해킹 사고는 취약점 분석·평가 여부가 모호한 업무지원 시스템 등에서 발생했거나, 취약점 평가 대상이었음에도 취약점을 발견·보완하지 못해 발생한 측면이 있다”고 인정했다.
다만 금감원은 훈련 대상 선정 과정에서 최근 침해사고 발생 여부와 주요 훈련 유형 등을 고려했다고 설명했다.
김 의원은 “금융당국이 2년 동안 모의해킹을 실시했지만 정작 사고가 발생한 시스템은 훈련 대상에서 빠져 있었다”며 “실제 해커와 화이트해커가 서로 다른 곳을 보게 해 화이트해커의 역량을 제대로 활용하지 못한 셈”이라고 지적했다. 이어 “사고를 뒤따라가는 훈련에서 벗어나 해커보다 먼저 취약한 시스템을 찾아내는 방식으로 점검 체계를 개선해야 한다”고 강조했다.
이주희 기자 jh224@segye.com
