김태훈 뱅크샐러드 대표, 의료·AI까지 보안체계 확장 [핀테크 보안 점검 ①]

[한국금융신문 옥준석 기자] 금융권 연쇄 해킹이 은행을 넘어 저축은행과 캐피탈, 온라인투자연계금융업까지 번지자 금융당국은 전자금융업자를 포함한 전 업권 긴급 점검에 나섰다. 고객의 금융 데이터를 한데 모아 다루는 데다 AI 등 신규 서비스로 지켜야 할 정보의 범위까지 넓어진 핀테크도 예외가 아니라는 지적이 나오고 있다. 이에 따라 주요 핀테크사가 어떤 보안 체계를 갖추고 있는지, 앞으로 어떻게 대응할지 차례로 살펴본다. <편집자 주>

뱅크샐러드가 금융권 연쇄 해킹 속에서 고객 데이터 보호망을 다지고 있다. 고객 인증정보를 서버에 남기지 않는 원칙을 지키면서 상시 이상거래 감시 등으로 정보에 접근하려는 시도 자체를 걸러내고, 올해 넓힌 AI 에이전트와 의료 마이데이터 사업에도 같은 보호 체계를 적용한다.

또한 앞으로도 정보보호 역량을 강화해 AI를 활용한 공격 등 변화하는 위협 환경에 대응하고, 중장기적으로 신뢰 기반의 보안 체계를 갖춘다는 방침이다.
1일 핀테크 업계에 따르면 뱅크샐러드의 올해 보안 전략은 대외 위협 환경 변화와 신규 서비스 확대에 맞춘 점검·모니터링 강화다. 금융권 연쇄 해킹에서 AI를 활용한 공격 정황이 제기되고, 고객 대신 금융사에 요청을 넣는 AI 에이전트 서비스가 늘어난 데 따른 대응이다.

뱅크샐러드 관계자는 “‘데이터를 안전하게, 고객이 신뢰할 수 있게’라는 원칙 아래 관리체계, 기술적 보호조치, 임직원 보안 인식을 함께 강화하고 있다”며 “올해는 대외 위협 환경 변화와 신규 서비스 확대에 맞춰 점검과 모니터링을 한층 강화했다”고 말했다.

이상거래·명의 도용 24시간 감시…모의해킹으로 재점검

보안 체계의 출발점은 고객 인증정보를 서버에 남기지 않는 원칙이다.

뱅크샐러드는 공동인증서와 ID·비밀번호를 서버에 저장하지 않고, 개인정보와 중요 정보는 암호화해 보관한다. 숨은 돈 찾기와 자동차보험 비교, 카드 발급 사전 조회 서비스에서 받은 주민등록번호도 저장하지 않고 금융결제원이나 제휴사에 넘긴 즉시 파기한다.

뱅크샐러드 관계자는 “고객 인증정보는 서버에 저장하지 않는다는 원칙과 개인정보 및 중요 정보 암호화 원칙은 현재도 동일하게 적용하고 있다”며 “이와 함께 접근권한 관리, 접속기록 관리 등 관련 법령이 요구하는 보호조치를 운영하고 있다”고 말했다.
정보를 남기지 않는 데 더해, 정보에 접근하려는 시도 자체를 걸러내는 장치도 갖췄다. 명의 도용과 외부 침입 등은 이중 확인과 상시 감시로 막는다.

가입 단계에서는 휴대폰 본인확인과 계좌 점유 인증을 함께 거치게 해 명의 도용을 차단한다. 이상거래탐지시스템(FDS)은 24시간 가동해 금융사기와 비정상 거래 패턴을 실시간으로 잡아내고, 외부 침입은 침입방지시스템(IPS)과 방화벽을 겹쳐 세운 다중 방어 체계로 차단한다.

뱅크샐러드 관계자는 “침입차단과 이상징후 탐지 체계를 상시 운영하고 있으며, 대외 보안 이슈가 발생할 때마다 자체 점검을 실시해 필요한 보완 조치를 하고 있다”며 “다만 관제 운영 방식과 구체적인 탐지·대응 사례는 보안상 공개하기 어렵다”고 말했다.

이 같은 보호 체계가 제대로 작동하는지는 외부 인증과 정기 점검을 병행하며 확인한다. 뱅크샐러드 관계자는 “지난해 10월 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 획득해 보유하고 있으며 법정 사후심사와 갱신 절차에 따라 유지하고 있다”며 “모의해킹과 취약점 점검 역시 관련 법규에 따라 정기적으로 수행하고 있다”고 말했다.

위협 진화 맞춰 탐지·대응 고도화…지속 투자로 신뢰 기반 이어가

기존 서비스에서 계속하던 보호 체계는 AI 에이전트 신규 서비스로도 확장한다.

반기보고서에 따르면 뱅크샐러드는 지난 5월 대출 금리 인하 자동 요구 등 AI 에이전트 3종을, 6월에는 보험금 자동 청구 AI 에이전트 2종을 출시했다. 고객이 직접 하던 금리 인하 요구나 보험금 청구를 AI 에이전트가 대신 금융사에 요청하는 서비스다.

위 서비스 들은 AI가 고객 대신 금융사와 정보를 주고받는 만큼 AI의 판단을 통제하는 장치와 금융사에 넘기는 정보의 범위가 관리의 핵심이다. 뱅크샐러드는 지난달 15일 AI 에이전트의 판단과 실행을 제어하는 기술 특허 3건을 출원했다.

금융사로 넘어가는 정보도 필요한 항목만 남겼다.

개인정보처리방침상 금리인하요구 자동대행 서비스에 참여한 금융사에 제공하는 정보는 연계정보(CI)와 대출 계좌번호, 계좌 유형, 대출 금리, 신용상태 개선을 입증하는 정보로 한정된다. 이 서비스로 처리한 정보는 서비스 이용이 끝나고 1개월이 지나면 보유하지 않는다.

뱅크샐러드 관계자는 “AI 에이전트 서비스에도 기존 서비스와 동일한 정보보호 원칙과 관리체계를 적용하고 있다”며 “서비스 환경 변화에 맞춰 보호 체계를 지속적으로 점검하고 보완해 나갈 계획”이라고 말했다.

금융 데이터보다 민감한 의료 데이터로 사업이 넓어지면서 보호 대상은 넓어졌다. 뱅크샐러드는 올해 5월 건강·의료 마이데이터 지원사업에 선정돼 의료 마이데이터 서비스를 개발하고 있다. 금융 데이터에 더해 민감도가 더 높은 의료 데이터까지 다루게 된 것이다.

이에 맞춰 의료 데이터는 별도 기준을 세워 금융 데이터와 따로 관리하고, 처리하는 정보도 최소한으로 묶었다. 개인정보처리방침상 의료 마이데이터 서비스가 처리하는 정보는 연계정보와 접근토큰, 전송요구서로, 민감정보 전송요구권 행사와 본인 식별 목적에 한정된다.

뱅크샐러드 관계자는 “의료정보도 민감도가 높은 정보인 만큼 금융 마이데이터를 운영하며 검증받은 보안 체계를 기반으로, 의료 데이터에는 별도의 강화된 보호 기준을 적용해 분리·보호하고 있다”며 “AI를 활용한 공격 등 변화하는 위협 환경에 대응하기 위해 탐지·대응 체계도 지속적으로 고도화하고 있다”고 말했다.

뱅크샐러드는 다음 해에도 탐지·대응 체계를 고도화하기 위한 정보보호 역량 강화 투자를 이어갈 방침이다. AI를 활용한 공격 등 변화하는 위협 환경에 대응하고 신뢰 기반의 보안 체계를 지향하겠다는 의미다.

뱅크샐러드 관계자는 “내년에도 정보보호 역량 강화를 위한 투자를 이어갈 계획”이라며 “중장기적으로는 고객이 안심하고 데이터를 활용할 수 있는 신뢰 기반의 보안 체계를 지향한다”고 말했다.

옥준석 한국금융신문 기자 okmoney@fntimes.com