최근 인공지능(AI)을 악용한 고도화된 해킹 공격이 금융권과 공공기관은 물론 민간 기반시설까지 확산되면서 국가 사이버 안보 전반에 심각한 경고등이 켜졌다. 전통적인 경계형 방어망의 한계가 드러나자 정부와 금융당국은 기존 규제 패러다임을 전환하고 전방위적인 대응 체계 구축에 착수했다.
10일 금융위원회에 따르면 지난 9월 30일부터 이달 3일까지 금융권 37개사에서 총 40건의 침해사고가 신고됐다. 정보유출 규모는 약 47만3000건으로, 고객 성명과 주민등록번호, 계좌번호 등이 포함됐다. 피해는 은행을 넘어 증권·보험·저축은행과 전자금융업 등으로 번졌다.
지난달 17일 대신증권의 비대면 증권계좌 개설 연계서버에서 비정상적인 접근을 감지한 뒤 조사한 결과, 고객 3만8490명의 개인·신용정보가 유출된 사실이 확인됐다. 미래에셋증권도 이달 4~5일 모바일웹 로그인 서비스와 사내 그룹웨어를 겨냥한 공격을 받아 고객 3800여명의 계좌번호와 퇴직자·외주직원을 포함한 임직원 3만5255명의 개인정보가 유출됐다. 가상자산 거래소 빗썸에서는 사내 모바일 그룹웨어가 공격받았다.
해킹 사고가 이어지는 가운데 외부 연계서버와 업무용 시스템의 보안 공백이 드러나면서 당국의 점검 범위도 넓어지고 있다. 금융당국이 추진하는 580여개사 전수점검에는 고객용 홈페이지뿐 아니라 직원관리·제휴업무와 개발·테스트 시스템까지 포함됐다. 외부에서 접근할 수 있는 경로와 내부통제체계 전반을 살피겠다는 취지로, 중대한 취약점이 발견되면 해당 서비스를 중단하고 외부 접근을 차단하도록 했다.
중장기적인 대응의 중심에는 망분리 규제 개편이 놓여 있다. 내부망과 외부망을 분리하는 기존 방식에 더해 AI로 공격을 탐지하고 차단할 역량을 갖추겠다는 구상이다. 금융위는 ‘망분리 규제 전면해제 TF’에서 데이터 중요도에 따른 보호체계와 모든 접근을 지속적으로 검증하는 제로트러스트 등 대체 보안수단을 논의할 예정이다.
보안 목적의 AI·서비스형 소프트웨어(SaaS) 활용을 위한 한시적 규제 완화 역시 상시 제도화하는 방향으로 추진되고 있다.
개별 금융회사가 포착한 공격 정보를 업권 전체에 신속하게 공유하는 체계도 강화한다. 공격방식과 공격자 인터넷주소(IP), 악용된 취약점 등을 통합관제시스템을 통해 전파하는 방식이다. 오는 12월 시범운영을 거쳐 내년 1분기 전 금융권 활용을 추진한다.
공공기관과 민간 핵심 기반시설에서도 보안점검이 진행 중이다. 국정원은 중앙부처와 지방자치단체 등 2100여개 기관에 자체 점검을 요청했으며, 공공 주요정보통신기반시설의 인터넷 접점은 직접 살펴보고 있다. 민간에서는 과학기술정보통신부가 111개 기관이 관리하는 약 172개 시설을 대상으로 외부 노출 서버와 웹페이지 등의 취약점을 확인하고 있다. 점검은 연내 마무리할 계획이다.
기관별로 흩어진 대응체계를 정비하는 방안도 검토되고 있다. 이재명 대통령은 지난 3일 국무회의에서 공공과 민간에 흩어진 보안 기능을 총괄·조정할 ‘사이버보안 차르’ 기구 구성을 적극 검토하라고 주문했다. 기관별 점검과 사후 대응을 넘어 공격 징후를 사전에 탐지하고 전파·대응하는 예방체계를 구축하겠다는 방향이다.
이주희 기자 jh224@segye.com
