“한 달 새 금융사 37곳 뚫리고 10억 털렸다”…금융사 배상제 도입 속도

[이데일리 임유경 기자] 금융당국이 금융권 연쇄 해킹에 대응해 580여개 금융사의 외부접점과 보안 내부통제 체계를 연말까지 전수점검한다. 중대한 보안 취약점이 발견되면 즉시 서비스를 중단하도록 하고, 취약점을 방치한 금융회사에 이행강제금을 부과하는 방안도 추진한다.

2차 피해를 예방하기 위해 유출된 개인정보의 불법 유통에 대한 감시·차단을 강화하고 금융회사가 보이스피싱 피해의 일정 부분을 배상하도록 하는 ‘무과실책임’ 법제화도 추진한다. 또 인공지능(AI) 기반 방어체계 구축을 뒷받침하기 위해 망분리 규제 전면 해제를 추진하고, 가상자산사업자·보험대리점(GA) 등으로 보안규율을 확대하는 ‘디지털금융 안전법’ 마련에도 나선다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원 및 전 금융권 협회장들과 ‘AI시대 보안체계 혁신을 위한 전 금융권 간담회’를 개최했다. 범정부 차원의 공동 대응을 위해 국무조정실과 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 방송미디어통신위원회, 경찰청, 한국인터넷진흥원(KISA)도 함께했다.

이억원 금융위원장이 5일 오전 서울 여의도 금융보안원 여의도 분원에서 전 금융권 협회장들과 진행한 'AI시대 보안체계 혁신을 위한 간담회'를 주재하고 있다. (사진=금융위원회)

이번 회의는 최근 거세진 사이버 침해 위협 수준에 맞서 우리 금융권의 보안체계를 확립하기 위한 다양한 실천과제와 제도개선 사항 등을 논의하는 자리로 마련됐다.

지난 9월 말 이후 은행·보험·증권·가상자산·전자금융, 온투업 등 전 금융권을 대상으로 한 연쇄 해킹이 이어지고 있다. 현재 총 37개사에서 40건의 침해사고가 신고됐다. 침해사고에 따른 정보유출 규모는 47만 3000건에 이른다. 일부 소규모 가상자산거래소·전자금융업자·온투업자의 경우에는 회사가 관리하는 자금이 탈취되는 사고도 발생했다. 자금탈취 규모는 현재까지 약 10억원 수준으로 신고됐다.

외부접점·내부통제 연말까지 점검…중대 취약점 땐 서비스 중단

이에 금융당국은 580여개사에 이르는 전 금융권의 IT 자산 외부접점과 내부통제 체계에 대한 전면 전수점검에 착수한다. 홈페이지 등 대고객 서비스뿐 아니라, 직원관리, 내부업무, 제휴업무 등 외부에서 접근가능한 모든 업무영역이 점검에 포함된다. 또 인증·접근통제 시스템 전반, 영업·관리목적 API, 개발·테스트 및 임시운영 시스템 등 최근 침해사고가 주로 발생한 시스템과 그간 관리가 소홀했을 것으로 여겨지는 주변부 시스템까지 포함해 점검할 계획이다.

아울러 금융회사 보안관리 전반의 내부통제 운영실태도 점검한다. CEO·CISO·CIO 등 각 주요 임원의 역할·책임 전반, 외부접점 생성·운영·폐기 과정에서의 의사결정 절차, IT자산 관리대장 운영 여부 등을 점검하고 필요 시 즉각적 보완을 요청할 방침이다.

관리대장에 등재돼 있는 시스템상 외부접점 전수점검은 11월30일까지 마무리하고, 관리대장에 등재되지 않은 미등재 시스템에 대한 전수점검과 CEO·CISO 등 내부통제체계 전반에 대한 전수조사는 연말까지 마무리할 계획이다.

이번 전수점검 결과를 바탕으로 전 금융권이 효과적인 보안 내부통제 시스템을 갖출 수 있도록 ‘보안 내부통제 가이드라인’을 내년 1분기 중 마련·시행할 계획이다.

관제시스템 고도화…취약점 평가 연 1→2회

이와 함께 금융권 공동 해킹 관제시스템도 고도화한다. 각 개별 금융회사들이 각자 파악한 침해시도 정황·내용 등을 최대한 신속하게 전 금융업권에 전파하는 것을 목표로 한다. 현재는 금감원·금보원 차원에서 파악한 위협정보만 관제시스템인 FIRST·FCTI를 통해 공유되고 있다. 관제시스템 고도화 작업은 12월 중 시범운영을 거쳐, 내년 1분기 중 활용될 수 있게 추진할 계획이다.

또 가상자산거래소 등 전자금융거래법 미적용 업권에 대한 신속한 사고신고·상황전파 대응체계도 정비한다. 현재 해당 업권은 정보통신망법에 따라 KISA에 사고신고를 하고 있으나, 금융감독원·금융보안원에도 즉시 신고토록 신고대응 가이드라인을 11월 중 마련할 계획이다.

취약점 분석·평가 제도도 실효성을 높이도록 개편한다. 대형 금융회사부터 단계적으로 취약점 분석·평가 점검주기를 기존 연 1회에서 2회로 단축한다. 또 전자금융거래와 직·간접적으로 관련된 모든 외부접점은 취약점 분석·평가 대상에 포함하도록 의무화할 계획이다. 중요한 취약점을 장기간 방치한 경우 금융당국이 시정명령을 내리고, 미이행시 지속적인 이행강제금을 부과하는 방안(전자금융거래법 개정)도 적극 추진할 계획이다.

중소형 금융회사 AI해킹 대비 지원도 강화한다. 금보원은 다음달 부터 순차적으로 중소 금융회사의 외부접점과 취약요인을 상시 탐색하고 위험 우선순위·조치방안까지 원스톱으로 제공하는 ‘원스톱 AI방어서비스’ 등을 지원할 예정이다.

보이스피싱 피해금 통신사 배상하는 ‘무과실책임’ 법제화 추진

2차 피해 방지를 위한 방어체계도 강화한다. 다크웹·텔레그램 등 추적이 어려운 온라인 채널을 상시 모니터링하고 실제 개인정보 유출·거래가 확인되면 해당 금융회사를 통해 고객통지, 추가 피해 예방 안내, 피해 보상 등 필요한 조치가 신속히 이뤄지도록 할 계획이다. 개인정보가 불법 유통되는 국내 온라인 채널에 대해서는 관계부처와 협력해 사이트 차단·폐쇄, 범죄자 검거 등 가용한 모든 수단을 동원해 강력히 대응할 계획이다.

또 지난해 10월 출범한 금융권 공동 보이스피싱 정보공유·분석 플랫폼인 ASAP에 AI의 분석기능을 강화해 범죄계좌를 보다 신속하게 탐지·동결하는 체계를 구축할 계획이다. 대포계좌와 신종스캠 등 범죄수법도 탐지하는 공동탐지룰도 추가한다.

금융사의 예방 노력을 높이기 위해 범죄 피해 일정 부분을 금융회사가 배상토록 하는 ‘무과실책임’ 법제화도 추진한다. 피해자 개인의 주의만으로는 범죄예방이 곤란한 상황에서, 의심거래 탐지·계좌 지급정지 등 금융사들에 법·제도적으로 부여된 다양한 법적조치를 통해 금융사 스스로가 책임을 다할 유인구조를 마련하기 위한 취지다.

이에 금융위원회는 보이스피싱 피해금 일정부분을 금융사가 보상하도록 한 ‘통신사기피해환급법’ 개정안의 신속한 입법을 지원할 계획이다. 아울러 금융회사의 과도한 부담으로 이어지지 않도록 하위규정 등을 통해 보상대상, 한도, 면책범위 등 구체적인 적용요건을 설계해 나갈 예정이다.

또한 통신수단을 매개로 이뤄지는 보이스피싱 범죄 특성상 금융사뿐만 아니라 통신사 등에 대한 책임 부여도 필요하다는 의견이 있는 만큼, 이에 대해서도 국조실·과기부 등 관계부처와 정부 내 공론화를 신속히 추진해 나갈 계획이다.

망분리 규제 전면 해제…디지털금융 안전법 추진

AI기반 보안체계의 조속한 구축도 추진한다. 먼저 망분리 규제 전면해제 TF를 구성해, 금융권의 AI 활용을 뒷받침하면서도 보안 수준을 높일 수 있는 방안을 마련할 계획이다. TF는 정부, 유관기관, 민간전문가, 전 금융권 담당임원 등 각계 전문가·이해관계자 등으로 구성할 계획이다.

금융위는 AI를 활용한 해킹 위협에 대응하려면 내부망과 외부망을 분리하는 기존 방식에서 나아가, AI로 공격을 탐지하고 차단하는 보안역량을 갖춰야 한다고 판단했다. 아울러 보안강화에 AI를 상시 활용할 수 있도록 제도를 정비하고, 혁신금융서비스를 통한 망분리 규제 완화도 일관되게 추진한다는 방침이다.

또 내년 1분기 중으로 ‘디지털금융 안전법’을 마련한다. 가상자산사업자, 보험대리점(GA) 등 대량의 고객정보를 보유하거나, 침해사고 발생 시 고객의 직접적 자산손실 우려가 큰 업종 등에 대해 ‘전자금융거래법’ 수준의 보안규율을 적용하는 것이 골자다. 또 클라우드 사업자, 플랫폼 등 금융회사는 아니나 연관된 제3자에 대한 규율체계 마련을 검토한다.

이억원 금융위원장은 “전 금융권 CEO분들은 절체절명의 위기상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성하여 정부에서 준비한 전수점검 계획과 제도개선 과제에 맞춰 긴밀한 상황대응과 튼튼한 보안체계 마련에 사력을 다해주길 바란다”고 당부했다. 아울러 “기존의 보안관리 방식과 관행에서 벗어나 보안체계를 전면적으로 쇄신해야 할 때”라며 “국민 여러분이 맡겨주신 정보와 재산을 목숨 걸고 지켜낸다는 각오로 우리 금융권의 신뢰를 회복해야 한다”고 말했다.