신한 2만5727건·국민 153건·하나 89명…동일 업권에서도 피해 편차
예가람저축은행 4만여건·웰컴저축은행 2200건…7개 금융사 침해사고
증권·보험·카드는 공격 시도에도 현재 피해 신고 없어
당국·전문가 "AI 자체보다 인증·접근통제·암호화 등 기본 보안이 성패 갈라"
[더파워 이경호 기자] 같은 해킹 공격을 받았지만 결과는 극명하게 갈렸다. 한 금융사는 4만여건의 정보가 유출된 반면 다른 곳은 89명 수준에 그쳤고, 아예 공격을 막아낸 회사도 있었다. 금융권을 덮친 인공지능(AI) 활용 해킹 사태가 결국 각 회사의 '보안 체력' 차이를 드러낸 셈이다.
5일 금융권과 금융당국에 따르면 현재까지 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 침해 사고가 발생했다. 온라인투자금융업체 피에프씨테크놀로지스(PFCT)와 모우다도 침해 사실을 알렸다.
특히 같은 은행권 안에서도 피해 규모는 크게 엇갈렸다. 신한은행에서는 2만5727건의 정보가 유출된 반면 KB국민은행은 153건, 하나은행은 89명 규모로 파악됐다. 우리은행과 NH농협은행에도 공격 시도가 있었지만 실제 피해로 이어지지는 않았다.
저축은행도 상황은 비슷했다. 예가람저축은행에서는 4만여건, 웰컴저축은행에서는 2200건의 정보가 유출됐다. 유출된 정보가 비식별 처리돼 있었는지 여부도 회사마다 차이를 보였다.
금융당국은 시중은행에서 동일한 공격자의 인터넷주소(IP)가 확인됐지만 저축은행과 캐피탈사에서 확인된 IP는 다른 것으로 파악하고 있다. 다만 구체적인 공격 방식에서는 유사성이 나타난 것으로 전해졌다. 비슷한 시기 침해 사실을 신고한 온투업체에 대해서도 사고 경위를 살피고 있다.
반면 증권과 보험, 카드업권에서는 해킹 시도가 있었지만 현재까지 피해 신고는 접수되지 않았다. 같은 시기에 금융권 전반이 공격 대상이 됐음에도 실제 침해 여부는 회사별로 달라진 것이다.
금융당국과 보안 전문가들은 이 차이를 AI 기술 자체보다 기존 보안체계와 내부통제 수준에서 찾고 있다. 다중인증뿐 아니라 외부에 노출된 시스템의 규모와 보안 프로그램 구축 수준, 접속 권한 관리, 정보 암호화 등이 복합적으로 작용했다는 분석이다.
한 보안 전문가는 "다중인증체계뿐 아니라 외부 노출 시스템 보유 여부, 보안 프로그램 구축 수준 등에 따라 방어 성과가 달랐다"고 말했다.
금융당국 관계자도 "다중인증체계와 물리적 차단, 접속 권한 관리, 정보 암호화 등을 얼마나 유기적으로 운영하는지에 따라 회사별 차이가 나타났다"고 설명했다.
전 금융권 긴급 점검 회의에서도 비슷한 진단이 나온 것으로 전해졌다. 공격에 AI가 활용됐다는 사실보다 인증과 접근통제, 외부 노출 시스템 관리 등 기본적인 보안체계가 제대로 작동했는지가 피해 규모를 갈랐다는 것이다.
금융당국은 이에 따라 공격 대상이 된 부가 시스템의 이용을 최소화하거나 통제를 강화하도록 금융사에 요구했다. 인증 절차가 빠진 정보조회 서비스는 전수조사해 오류를 수정하거나 차단하고, 직원 업무지원 서비스의 모바일 접근통제와 취약 웹서비스도 즉시 손보도록 했다.
이억원 금융위원장도 외부에 노출된 IT 자산과 서비스, 인증·접근통제, 침해 활동 탐지체계 등을 점검 대상으로 제시하며 "보안 체계 전반에 공백이 없도록 점검해야 한다"고 강조했다.
문제는 정보 유출이 2차 피해로 번질 가능성이다. 현재까지 공개된 유출 정보에는 고객명과 생년월일, 연락처, 주민등록번호 등이 포함됐지만 부정 결제에 곧바로 활용될 수 있는 정보는 없는 것으로 알려졌다.
다만 유출된 개인정보를 조합한 보이스피싱이나 스미싱 등에 악용될 가능성은 남아 있다. 이 위원장 역시 "유출된 정보를 악용한 보이스피싱·스미싱 등 2차 피해로 이어질 가능성도 배제할 수 없다"고 말했다.
금융권 긴급점검 시한도 정해졌다. 은행과 카드사는 6일까지, 증권·보험·저축은행·전자금융업자는 8일까지 자체 점검을 마쳐야 한다.
이번 사태는 'AI를 활용한 고도화된 공격'이라는 공통된 위협 앞에서도 금융사별 방어력이 얼마나 다른지를 보여줬다. 공격 기술이 진화할수록 화려한 보안 솔루션보다 외부 노출 시스템 관리와 다중인증, 접근권한 통제 같은 기본적인 보안 원칙을 실제 현장에서 얼마나 촘촘하게 작동시키느냐가 피해 규모를 가르는 핵심 변수로 떠오르고 있다.
이경호 더파워 기자 lkh@thepowernews.co.kr
이미지 확대보기
