신한·KB·하나·부산은행 정보유출…우리·농협도 해킹 공격, 유출 피해는 없어핵심 뱅킹망 아닌 직원·대출모집인 업무시스템 노려 공격 추정 서버에 AI 침투 흔적도…자동화 해킹에 보안 사각지대 우려책무구조도 시행 속 경영진 내부통제 책임도 도마 과징금 7004억에도 피해구제 미미 … 사전 감독 강화 과제
  • ▲ ⓒ챗GPT
    ▲ ⓒ챗GPT
    은행들이 해마다 수백억원을 보안에 쏟았지만 고객정보가 빠져나가는 '뒷문'은 막지 못했다. 신한은행과 KB국민은행에 이어 하나은행과 BNK부산은행에서도 정보유출 사고가 발생하고, 우리은행과 NH농협은행까지 해킹 공격을 받으면서 은행권 전반의 보안체계가 시험대에 올랐다. 특히 신한은행 공격에 활용된 것으로 추정되는 서버에서는 AI 침투도구의 흔적까지 발견됐다. 핵심 뱅킹망 밖의 업무시스템이 잇따라 공격받는 가운데 AI를 활용한 공격 가능성까지 제기되면서 금융권의 보안 사각지대에 대한 우려가 커지고 있다.

    2일 금융권에 따르면 이날까지 신한·KB국민·하나·BNK부산은행 등 4개 은행에서 개인정보 유출 사고가 확인됐다. 우리은행과 NH농협은행도 해킹 공격을 받았지만 현재까지 정보유출 피해는 확인되지 않았다.

    KB국민은행은 직원용 모바일 업무지원시스템이 외부 공격을 받아 고객 119명의 개인·신용정보가 유출됐다. 고객명과 전화번호, 주소, 암호화된 주민등록번호 등이 빠져나갔으며 은행은 지난달 30일 비정상 접근을 확인한 뒤 서버와 접속 경로를 차단했다. 고객이 이용하는 인터넷·모바일뱅킹은 피해를 입지 않았다.

    신한은행에서는 약 2만5000명의 고객정보가 유출됐다. 외부 비인가자가 대출모집인용 서비스의 본인확인 절차를 우회하면서 고객명과 전화번호, 연소득, 대출 산출한도 등이 빠져나갔다. 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다.

    하나은행 역시 외부 해킹 세력이 영업지원시스템(ODS)에 비정상적으로 접근하면서 고객 89명의 개인정보가 유출됐다고 밝혔다. 유출 정보에는 주민등록번호와 성명, 주소, 이메일주소, 전화번호, 직장명 등이 포함됐다. 하나은행은 해당 시스템이 인터넷·모바일뱅킹과 별개로 운영되고 있어 고객의 금융거래 정보 유출과는 관련이 없다고 설명했다.

    BNK부산은행에서도 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일주소 등이 외부 웹페이지에 유출됐다. 은행 측은 내부 직원용 모바일 영업지원시스템 등을 대상으로 한 해킹 공격이 원인인 것으로 추정하고 있다.

    투자 규모가 작았던 것도 아니다. 김재섭 국민의힘 의원실이 금융감독원에서 받은 자료에 따르면 올해 5대 은행의 정보보호 예산은 모두 3320억원에 달한다. KB국민은행이 860억7500만원으로 가장 많았고 NH농협은행 801억3400만원, 하나은행 636억3500만원, 우리은행 615억6600만원, 신한은행 405억9100만원 순이다. 수백억원씩 투입하고도 5곳 모두 공격 대상이 됐고 이 가운데 KB·신한·하나에서는 실제 고객정보까지 빠져나갔다.

    은행별 투자 격차도 짚어볼 대목이다. 신한은행은 2022년부터 올해까지 5년 연속 5대 은행 가운데 정보보호 예산이 가장 적었다. 올해 IT 예산에서 정보보호가 차지하는 비중도 9.1%로 가장 낮았다. 다만 가장 많은 860억원을 편성한 KB에서도 사고가 발생했다는 점은 예산 규모만으로 보안을 담보하기 어렵다는 사실도 보여준다. 투자액뿐 아니라 취약점 점검과 접근통제, 이상징후 탐지 등 실제 방어체계가 제대로 작동했는지를 따져봐야 하는 이유다.

    특히 이번 사고에서 주목할 부분은 공격 대상이다. 신한은행의 대출모집인용 서비스와 KB국민은행의 직원용 업무지원시스템, 하나은행의 영업지원시스템 등 핵심 뱅킹망이 아닌 별도 업무시스템에서 잇따라 정보유출이 발생했다. 부산은행 역시 내부 업무지원시스템을 대상으로 한 공격을 사고 원인으로 추정하고 있다.

    핵심 전산망의 방어벽을 높이는 사이 직원과 외부 모집인 등이 사용하는 업무시스템까지 촘촘하게 관리했는지가 새로운 쟁점으로 떠오른 것이다.

    여기에 신한은행 공격에 활용된 것으로 추정되는 서버에서 AI 침투도구의 흔적까지 발견되면서 우려가 커지고 있다. 실제 AI가 공격에 동원됐는지, 은행별 공격이 동일한 주체나 수법에 의한 것인지는 아직 확인되지 않았다. 다만 AI가 취약점 탐색과 공격 시도를 자동화할 경우 기존 보안 사각지대가 더욱 큰 위협에 노출될 수 있다는 지적이다.

    책무구조도 시행으로 경영진의 관리 책임도 무거워졌다. 정보보안 담당 임원은 소관 업무의 내부통제 관리의무를 지고 최고경영자(CEO)는 임원들의 관리의무 이행을 감독한다. 향후 검사에서는 해킹 자체뿐 아니라 접근권한 관리와 취약점 점검, 이상접근 탐지 등 사고 이전 예방조치가 적절했는지가 책임 판단의 주요 쟁점이 될 전망이다.

    금융당국은 사고가 발생할 때마다 제재 강도를 높여왔다. 금융위는 지난 7월 고객 297만명의 신용정보가 유출된 롯데카드에 과징금 50억원과 1.5개월 업무정지를 부과했다. 해킹에 따른 정보유출로 금융회사에 업무정지가 내려진 첫 사례다.

    제재와 별개로 실제 피해구제의 실효성도 점검할 필요가 있다. 김형연 의원실이 개인정보보호위원회에서 받은 자료에 따르면 2022년부터 올해 상반기까지 개인정보 유출 기업에 부과된 과징금은 7004억원으로 집계됐다. 같은 기간 개인정보 손해배상책임보험 지급액은 25건, 약 13억원이었다. 

    사고 이후 제재를 강화하는 방식만으로는 한계가 있다는 지적도 나온다. 롯데카드 사태 이후 당국은 중대한 보안사고에 전체 매출액의 최대 3%까지 과징금을 부과하고 최고정보보호책임자(CISO)의 권한을 강화하는 방안까지 내놨다. 하지만 은행권에서 정보유출 사고가 잇따르면서 사후 처벌과 별개로 사고 이전의 취약점 관리가 제대로 이뤄지고 있는지 점검해야 한다는 목소리가 커지고 있다.

    금융위는 이날 시중은행들을 긴급 소집해 외부 접속 경로와 내부 업무시스템 등 보안 대응 상황을 다시 점검하기로 했다. 잇단 사고가 핵심 뱅킹망 밖에서 발생한 만큼 개별 사고 수습을 넘어 은행권의 취약한 업무 접점을 선제적으로 찾아내는 것이 관건으로 꼽힌다.

    금융권 관계자는 “핵심 뱅킹 시스템의 보안 수준은 높아졌지만 직원이나 모집인 등이 사용하는 업무시스템까지 같은 수준으로 관리되고 있는지는 다시 살펴볼 필요가 있다”며 “사고 이후 점검과 제재를 강화하는 방식에서 벗어나 외부와 연결된 취약한 접점을 사전에 찾아 차단하는 관리체계가 중요해졌다”고 말했다.

    [관련기사][금융보안 사각지대에 드리운 AI 그림자①]신한은행 공격 서버에 'AI 침투도구' 흔적 … 금융권 '기계 해킹' 현실화되나