피해 확산을 최소화하고자 금융감독원은 곧바로 점검에 돌입했다. 보안 약한고리인 온투업은 물론이고 은행, 저축은행, 증권 등 전 금융권에 대한 보안 감독도 한층 강화할 것이란 전망이다.
|
온투업체의 전신인 P2P(온라인을 통해 대출과 투자를 연결하는 서비스)에서는 횡령 등으로 자금 유출 사고가 발생하기도 했지만, 2021년 6월 온투업계가 공식 출범한 후로는 이번이 처음이다. 다른 금융사에 비해 인적·물적 여력이 부족한 온투업계는 결국 무차별적인 인공지능(AI) 해킹을 피해가진 못했다는 평가다.
이번에 공격 당한 줌펀드는 보안 투자에 소극적이었던 것으로 전해진다. 이곳은 올해 5월부터 사실상 영업을 종료했고 폐업 절차를 밟기 위한 준비를 하고 있던 상태였다. 이 때문에 보안을 강화하지 않았던 것인데 이 틈을 해커가 파고든 것으로 해석되고 있다.
줌펀드는 홈페이지와 앱 접속을 차단하고 금감원과 함께 예치금 3억원 배상 작업에 착수했다. 전자금융거래법상 자금 유출 사고가 발생하면 해당 회사에서 100% 배상해야 한다. 예치금은 예금과 달리 사고 발생에 대비해 들 수 있는 보험도 없다. 3억원은 줌펀드 대주주가 사재를 출연해 배상하는 방식이 거론된다. 온투업계 관계자는 “예치금은 예금자보호법 적용을 받지 않고 별도 보험도 없어 사고 나면 회사가 전액 부담해야 하는 구조”라고 설명했다.
추가 피해 우려와 관련해 금감원에서는 “줌펀드가 외부와 연결된 접점을 차단해 제한적일 것”이라고 보고 있지만 줌펀드처럼 폐업 수순에 돌입한 온투업체도 있어 해킹 시도는 계속될 수 있다는 것이 보안업계의 관측이다. 익명을 요구한 한 보안업계 관계자는 “이런 업체들은 금융보안원 공동 대응체계에서도 벗어나 있는 해킹 사각지대”라면서 “보안이 약한 곳을 학습한 AI는 비슷한 시도를 반복할 것”이라고 언급했다.
지난달 금융당국이 555개 금융사를 대상으로 실시한 AI 해킹 대비 긴급 자체점검에서 ‘미흡하다’고 답한 130개사 중 절반 이상이 온투업체와 전자금융업자로 나타났다. 이 중에는 영업을 종료한 온투업체가 다수여서 긴장을 늦춰선 안된다는 지적이다.
일각에서는 금융당국이 온투업체뿐 아니라 예치기관의 지급 승인·이상거래 절차 점검 등도 강화해야 한다는 의견이 나온다. 고학수 전 개인정보보호위원회 위원장은 “투자 규모로 물량공세하는 쪽에 초점을 맞춰선 안 된다”면서 “AI 공격이 급속도로 증가할 것을 전제하고 공격이 늘어나는 만큼 피해 크기도 커진다는 리스크에 맞춰 중장기 로드맵을 짜야할 것”이라고 제언했다.
이찬진 금감원장은 이날 임원회의를 통해 “사고 발생 회사에 대해 자체 점검 등이 적정하게 이뤄졌는지 면밀히 살펴야 할 것”이라면서 “추가 사고 방지를 위해 온투업·대부업·GA 등 전금법 적용사를 포함한 전 금융권의 외부 접점을 전수 점검하라”고 지시했다. 이와 관련해 금융당국은 오는 5일 금융권 대상 침해사고 대응을 위한 대책 회의를 열고 추가 대책을 논의할 예정이다.
