금융권 해킹 한 달 뒤 보안원도 뚫렸다…외부 침해 왜 못 막았나

(서울=연합인포맥스) 박경은 이수용 기자 = 금융권 연쇄 해킹 사태가 발생한 지 한 달여 만에 금융회사들의 보안 점검과 사고 대응을 지원하던 금융보안원에서도 정보유출 사고가 발생했다.

금융당국이 각 업권에 외부와 연결된 시스템의 취약점을 집중적으로 점검하도록 주문해온 가운데, 금융회사 보안을 점검하고 관리하는 핵심 기관마저 외부용 시스템을 통한 침해를 막지 못하면서 보안 관리체계의 신뢰성 논란이 불가피할 전망이다.

특히 인공지능(AI)을 활용한 사이버 공격이 전 세계에서 잇따르고 있는 상황에서 단순 시스템 전수 점검이나 제재 강화 등 일차원적 보안 강화로는 대응할 수 없다는 지적이다.

11일 금융당국에 따르면 금융보안원은 지난 9일 상시평가 지원시스템의 침해 사실을 확인하고 외부 접근을 차단했다.

금융회사의 정보보호 수준 평가를 지원하는 이 시스템에서는 행정서식 약 200건과 개인정보 등이 유출됐으나, 금융사의 보안 정보는 유출되지 않았다는 게 금융보안원의 설명이다.

이번 사고로 살펴봐야 할 대목은 외부 접점을 점검하라는 당국의 대응 주문이 실제 취약점 발견과 보완으로 얼마나 이어졌느냐다. 금융회사들의 사고조사와 보안 점검을 지원해온 전문기관에서도 외부용 시스템을 통한 정보유출이 발생했기 때문이다.

금융당국과 금융보안원도 기존 보안 체계의 한계를 인식하고 있었다.

금융위는 지난 5일 금융권 간담회에서 외부에 연결된 시스템을 파악하고 취약점을 찾아 보완하는 과정마다 관리 공백이 생길 수 있다고 지적했다. 금융회사가 전수점검을 마쳤다고 보고하는 것만으로는 실제 보안 수준을 확인하기 어렵다는 것이다.

이러한 자체점검의 허점을 걸러내는 역할을 맡은 기관이 금융보안원이다. 금융당국은 이번 전수점검에서 금융회사가 문제가 없다고 판단한 경우에도 점검 방식과 근거를 상세히 적도록 하고, 내용이 부실하거나 중대한 취약점이 발견되면 금감원과 금융보안원이 직접 현장을 확인하기로 했다.

그러나 다른 금융회사의 점검이 충분했는지 검증할 기관에서도 자체 시스템의 정보유출을 막지 못했다. 금융보안원이 금융회사에 요구하는 수준의 점검과 관리를 내부에도 적용했는지, 적용했다면 어느 단계에서 허점이 생겼는지 확인이 필요한 대목이다.

특히 금융당국은 대고객 홈페이지뿐 아니라 직원관리·내부업무·제휴업무와 개발·테스트용 시스템 등 주변부까지 빠짐없이 살피도록 주문해왔다. 이번에 침해된 시스템도 결국 핵심 업무와 구분되는 지원 서비스였다.

금융위는 이번에 침해된 상시평가 지원시스템이 최근 진행 중인 체크리스트 점검과는 별개라고 설명했지만, 핵심 업무 여부와 유출 규모를 넘어 보안 전문기관의 관리체계에 대한 신뢰가 걸린 사안으로 보고 있다.

금융당국 관계자는 "정보유출 규모의 문제가 아니라 보안을 관리하는 기관에서 문제가 발생했다는 것 자체가 문제"라며 "신뢰성 차원에서도 이 사안을 엄중하게 봐야 한다"고 말했다.

금융권 보안의 '문지기' 역할을 해온 금융보안원마저 침해를 겪으면서, 업권별 대응을 넘어 공공·민간의 역량을 결집할 범정부 총괄 체계의 필요성도 부각된다. 개별 기관의 취약점 점검과 관리 책임은 강화되고 있지만, 여러 산업에서 포착되는 공격 징후를 종합·분석하고 공동 대응을 조율하는 범정부 체계는 여전히 과제로 남아 있다.

이재명 대통령이 최근 검토를 지시한 '사이버보안 차르' 기구도 이러한 문제의식과 맞닿아 있다. 금융을 비롯한 개별 업권의 대응 역량을 높이는 데서 나아가, 공공과 민간에 분산된 위협정보와 보안 기능을 연결해 국가 차원의 예방·대응체계를 갖추겠다는 취지다.

이 대통령은 지난 3일 국무회의에서 해외 가상자산 거래소의 해킹 피해를 언급하며, AI 발달로 공격이 고도화되는 상황에서 기존 점검과 사후 대응 중심 보안체계가 한계를 드러내고 있다고 보고 흩어져 있는 보안 기능을 총괄 조정할 수 있는 실효적인 기구를 만들어 달라고 주문했다.

금융권 관계자는 "AI에 대한 의존도가 높아질 수록 이를 악용한 해킹도 더 교묘해지고 잦아질 것"이라며 "근본적으로 보안 관리 체계를 바꿔 AI로 대응할 수 있는 시스템을 갖춰야 할 것"이라고 말했다.

gepark@yna.co.kr

sylee3@yna.co.kr