최근 한달간 금융권 37개사에서 47만여건의 정보 유출과 10억원대 자금 탈취가 발생해 금융당국이 580여개사를 대상으로 전수점검에 착수했다.
금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원, 가상자산·전자금융·온라인투자연계금융업(온투업)을 포함한 전 금융권 협회장 및 관계부처와 ‘인공지능(AI) 시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 침해사고 현황과 후속 대책을 논의했다.
금융당국에 따르면 9월 30일 최초 침해사고가 확인된 이후 지난 3일까지 접수된 사고 신고는 37개사, 총 40건에 달했다.
업권별로는 전자금융업이 10개사로 가장 많았고 ▲금융투자 5개사 ▲저축은행 5개사 ▲은행 4개사 ▲온투업 4개사 ▲보험 3개사 ▲가상자산 3개사 ▲여신전문금융 2개사 ▲상호금융 1개사 순이었다. 지난달 14일 체크리스트 자체 점검이 끝난 뒤에는 중소형 증권·보험사와 핀테크, 가상자산 업계를 중심으로 침해 신고가 집중됐다.
당국은 이에 따라 전자금융거래법 적용 대상뿐 아니라 법 사각지대에 있던 가상자산업권까지 포함해 총 580여 개사를 대상으로 전수점검에 돌입한다.
관리대장에 등재된 시스템은 이달 30일까지, 미등재 시스템과 최고경영자(CEO)·정보보호최고책임자(CISO)의 관리 책임을 비롯한 내부통제체계는 연말까지 조사를 마친다. 금융사의 자체 점검이 부실하거나 중대 취약점이 확인되면 금감원과 금보원이 즉각 현장 점검에 투입된다. 점검 과정에서 드러난 취약점은 자발적 보완을 유도하되, 점검 이후 침해사고가 재발하는 금융사에 대해서는 가중 처벌 등 엄단할 방침이다.
대형 금융사에 대한 감시망도 대폭 조인다. 취약점 분석·평가 점검 주기를 연 2회로 단축하고 모든 외부 접점을 평가 대상에 의무적으로 올리도록 했다. 당국의 수시 평가 요구권과 시정명령 불이행 시 지속적인 이행강제금을 부과하는 방안도 제도화한다. 반면 보안 여력이 부족한 중소형 금융사에는 금융보안원을 통해 AI 원스톱 방어 서비스와 단계별 경보체계를 지원한다.
2차 피해를 막기 위한 조치도 병행된다. 다크웹 내 개인정보 불법 유통을 실시간 차단하고, 금융권 공동 보이스피싱 대응 플랫폼(ASAP)에 AI 기반 ‘의심 거래 판단지수’와 대포통장·신종스캠 탐지룰을 즉시 탑재해 계좌 동결 속도를 높인다. 금융회사의 보이스피싱 피해 배상 책임을 강화하는 무과실책임 도입(통신사기피해환급법 개정안)도 지원한다.
당국은 중장기적으로 ‘망분리규제 전면해제 TF’를 본격 가동해 보안 목적의 AI·SaaS 활용 규제 완화를 상시 제도화하고, 내년 1분기에는 디지털금융안전법도 마련할 계획이다.
주다솔 기자 givesol@segye.com
