빗썸·대신증권·미래에셋자산운용서 잇따라 비정상 접근 정황
대신증권 고객 3만8490명 계좌번호 등 8개 항목 유출 확인
정부, 주요정보통신기반시설 170여곳 긴급 보안점검 추진
내년 사이버보안 실태평가 868개 기관으로 확대…모든 상장사 정보보호 공시 의무화
이미지 확대보기위 사진은 기사의 이해를 돕기 위한 것으로 AI(인공지능)를 활용해 생성된 가상의 이미지입니다.[더파워 이경호 기자] 금융권을 겨냥한 해킹 공격의 범위가 넓어지고 있다. 은행권에 이어 증권사와 자산운용사, 가상자산 거래소까지 비정상 접근과 개인정보 유출 사례가 잇따르면서 금융회사의 보안 체계가 다시 시험대에 올랐다.
정부 대응도 빨라지고 있다. 주요정보통신기반시설에 대한 긴급 점검과 금융회사 현장점검이 추진되는 가운데 2027년부터는 공공기관 사이버보안 평가와 상장사의 정보보호 공시 의무도 대폭 확대된다.
30일 금융투자업계에 따르면 최근 금융회사와 가상자산 사업자를 겨냥한 해킹 사고가 연이어 발생하면서 이상징후 탐지와 다중인증, 웹 애플리케이션 방화벽(WAF), 모의해킹 등 보안 시스템 수요가 다시 주목받고 있다.
가상자산 거래소 빗썸에서는 사내 모바일 업무용 그룹웨어 시스템을 통해 권한이 없는 외부인이 비정상적으로 접근한 사고가 발생했다. 이 과정에서 임직원 600~700명의 이름과 이메일, 주소 등 개인정보가 유출된 것으로 파악됐다.
증권업계에서도 고객정보 유출 사례가 나왔다. 대신증권은 지난 17일 투자일임 비대면 증권계좌 개설 연계 서버에서 해커의 비정상적인 접근 징후를 포착했다.
이후 약 6만건을 전수조사한 결과 26일 고객정보 유출이 확인됐다. 유출 대상은 3만8490명으로 증권종합계좌번호와 입출금 계좌번호 등 8개 항목이 포함됐다. 공격은 응용프로그램 인터페이스(API)를 통해 이뤄진 것으로 알려졌다.
미래에셋자산운용에서도 일부 웹 시스템에서 외부 IP를 통한 비정상 접근 정황이 발견됐다. 외부 공격자가 정상적인 접근 권한 없이 일부 업무용 시스템 자료를 열람한 방식으로 파악됐다.
사고 인지 이후에는 웹 애플리케이션 방화벽을 통해 공격 IP와 해외 접속을 차단하고 취약 기능을 중단하는 조치가 이뤄졌다. 최근 공격이 단순한 내부망 침입뿐 아니라 외부에 연결된 API와 웹 시스템 등 다양한 경로에서 발생하고 있는 셈이다.
잇따른 사고에 정부도 대응에 나섰다. 지난 28일 청와대와 과학기술정보통신부 등은 해킹 침해사고와 관련한 긴급회의를 열고 피해 규모와 추가 확산 방지 방안을 논의했다.
과기정통부는 통신 3사 등을 포함한 민간 주요정보통신기반시설 170여곳에 대해 연말까지 긴급 보안점검을 추진할 계획이다. 국가 핵심 시스템 전반의 보안체계 점검 지시에 따른 조치다.
경찰청 국가수사본부도 증권사와 가상자산 거래소 해킹 사건에 대한 내사에 착수했다. 기존 금융권 해킹 사건과의 연관성과 공격 수법 등을 분석할 예정이다.
금융감독원은 현장점검을 통해 해킹 경로와 피해 범위, 보안 관리 과정에서의 법규 위반 여부 등을 확인할 계획이다. 금융위원회도 AI 보안위협 대응을 주제로 금융권 간담회를 개최할 예정이다.
논의 대상에는 AI를 활용한 해킹 위협 대응과 보이스피싱 탐지 체계 고도화, 망분리 이후 새로운 금융 보안체계 구축 등이 포함될 것으로 예상된다.
보안 강화 흐름은 일회성 점검에서 끝나지 않는다. 2027년부터는 공공부문과 민간기업 모두 보안 관련 평가와 공시 대상이 크게 늘어난다.
국가정보원이 주관하는 사이버보안 실태평가 대상은 올해 153개 기관에서 2027년 868개 기관으로 확대될 예정이다. 2028년에는 다시 2160개 기관까지 늘어난다.
1년 만에 평가 대상이 5배 이상 늘고 2년 뒤에는 현재의 14배를 넘어서는 셈이다. 공공기관을 중심으로 보안 시스템 구축과 점검, 인증, 취약점 관리 수요가 확대될 수 있는 제도 변화다.
민간기업도 대상이 확대된다. 정보보호 공시 의무 대상을 전체 상장사로 확대하는 정보보호산업법 시행령 개정안이 지난 20일 통과되면서 내년부터 모든 상장법인은 정보보호 투자와 관련 활동 현황을 의무적으로 공시해야 한다.
기존에는 매출액 3000억원 이상 등을 기준으로 정보보호 공시 의무가 적용됐지만 대상이 전체 상장사로 넓어지는 것이다. 상장기업 입장에서는 정보보호 투자 규모와 관련 인력, 보안 활동을 외부에 공개해야 하는 만큼 관련 투자와 관리 체계가 이전보다 중요해진다.
보안 수요 역시 단순한 방화벽 설치를 넘어 다양한 영역으로 확대되고 있다. 최근 금융권 사고에서 확인된 외부 비정상 접근과 API 공격 등에 대응하기 위해서는 접속 단계에서의 사용자 인증뿐 아니라 이상징후 탐지와 접근 권한 관리, 애플리케이션 보안이 함께 요구된다.
금융권에서는 AI 활용 확대도 새로운 보안 과제로 떠오르고 있다. 금융위원회가 AI 기반 보이스피싱 탐지와 AI 해킹 위협 대응 등을 논의하기로 한 것도 금융회사의 AI 활용이 늘면서 기존 보안 체계만으로 대응하기 어려운 영역이 커지고 있기 때문이다.
유안타증권은 올해 발생한 금융권 해킹 사례와 정부 대책, 내년 제도 변화를 토대로 2027년 사이버보안 시장에서 기업 간 거래(B2B)와 정부·공공기관 대상 사업(B2G)이 함께 확대될 것으로 분석했다.
공공부문에서는 사이버보안 실태평가 대상 확대가, 민간에서는 전체 상장사로 넓어지는 정보보호 공시 의무가 각각 수요 증가 요인으로 제시됐다.
관련 기업으로는 지니언스와 라온시큐어 등이 거론됐다. 지니언스는 네트워크 접근제어와 이상행위 탐지 등 기업·공공기관 보안 인프라와 연관돼 있고, 라온시큐어는 인증·접근관리 등 보안 사업을 영위하고 있다.
최근 금융권에서 확인된 해킹 사고는 공격 대상이 특정 업권에 머물지 않고 있다는 점을 보여준다. 증권계좌 연계 서버와 업무용 웹 시스템, 내부 그룹웨어까지 공격 경로가 다양해지면서 금융회사와 상장기업, 공공기관의 보안 관리 범위도 함께 넓어지고 있다.
2027년에는 여기에 제도 변화까지 더해진다. 사이버보안 실태평가 대상 확대와 전체 상장사의 정보보호 공시 의무화가 동시에 시행되면서 금융권을 넘어 공공기관과 상장기업 전반에서 보안 투자와 관리 수요가 늘어날 것으로 전망되고 있다.
이경호 더파워 기자 lkh@thepowernews.co.kr
