금융권 37곳서 한 달 새 47만 건 정보 유출… 10억 원 자금 탈취

지난 한 달간 금융권 37개사에서 약 47만 3000건의 정보가 유출되고 해킹에 따른 자금 탈취 규모도 10억 원에 달한 것으로 나타났다. 금융당국은 가상자산업계를 포함한 금융권 전반에 대한 보안 점검에 착수하고, 관리 부실이 확인될 경우 최고경영자(CEO) 등 경영진에게도 책임을 묻기로 했다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원과 전 금융권 협회장, 관계부처 등이 참석한 가운데 'AI 시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 침해사고 현황과 대응 방안을 논의했다.

금융위에 따르면 지난 9월 30일 첫 침해사고가 확인된 이후 이달 3일까지 총 37개 사에서 40건의 침해 신고가 접수됐다. 업권별로는 은행 4곳, 금융투자 5곳, 보험 3곳, 저축은행 5곳, 상호금융 1곳, 여신전문금융 2곳, 온투업 4곳, 전자금융업 10곳, 가상자산업 3곳이다.

유출된 정보는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이다. 다만 계좌 비밀번호 등 부정 결제로 이어질 수 있는 정보의 유출은 아직 확인되지 않았다. 자금 탈취는 주로 소규모 가상자산거래소와 전자금융업체, 온투업체에서 발생했으며, 핫월렛과 소비성 포인트, 온투업 예치금 등 회사가 관리하는 자금이 대상이었다. 개별 이용자의 직접적인 금전 피해는 아직 발생하지 않은 것으로 파악됐다.

금융당국은 전통 금융업권뿐 아니라 전자금융업과 온투업, 가상자산업까지 포함해 약 580개사를 대상으로 전수점검을 실시한다. CEO와 정보보호최고책임자(CISO), 최고투자책임자(CIO)의 역할과 책임, 외부 접점 관리 등 내부통제 실태도 함께 살펴본다. 관리대장에 등록된 시스템은 이달 30일까지, 미등록 시스템과 내부통제체계 점검은 연말까지 완료할 계획이다.

이 위원장은 "보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다"며 "중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 강조했다.

금융당국은 금융권 공동 해킹 관제시스템을 고도화하고 다음 달 시범 운영을 거쳐 내년 1분기 전 금융권으로 확대할 방침이다. 보이스피싱 등 2차 피해를 막기 위해 공동 정보공유·분석플랫폼(ASAP)에 AI 기반 의심 거래 판단지수를 이달부터 시범 도입하고, 대포계좌와 신종 스캠 탐지 기능도 강화한다.

아울러 망분리 규제 완화를 추진하고 전 금융권의 전산보안 규율을 담은 '디지털금융안전법'을 내년 1분기 중 마련할 계획이다. 가상자산사업자와 법인보험대리점(GA)에도 전자금융업 수준의 보안 규율을 적용하고 클라우드 사업자와 플랫폼 등 제3자에 대한 관리·감독도 강화한다.