잇단 공격에 증권사 비상…'AI 해킹 어떻게 막나' 고심

[한국금융신문 정선은 기자] 금융권에 대한 해킹 공격이 잇따르는 가운데, 증권사도 보안 관제 체계 정비가 더욱 중요해지고 있다.

특히, AI(인공지능) 기반 해킹에 대한 대응이 주요한데, 다만 즉각적인 보안 방어망 체계를 갖추는 데 현실적 한계도 있어서 골몰하고 있다.

외부 접점·연계 서버 경계감 확대

9일 금융투자업계에 따르면, 지난 10월부터 이달 현재까지 증권업계 해킹 사고 발생 사례는 한양증권, 대신증권, 미래에셋증권이 있으며, 일부 정보유출 등이 확인됐다.
특히 해킹 침입 경로에서 외부 점점, 연계 서버 등이 확인되고 있다는 점이 특징적이다.

투자일임 비대면 증권계좌개설 연계서버에 대한 해커의 비정상적인 접근(대신), 외부 그룹웨어 솔루션에 비정상적인 접근(한양), 모바일웹의 휴대폰 인증 로그인 서비스에 대한 외부의 비정상적인 접근 및 그룹웨어에 대한 외부의 공격(미래에셋) 등이 해당된다.

최근 금융권 해킹은 AI 기반 해킹이 기폭제가 되고 있는 것으로 추정되고 있다. 하지만 현재의 보안 관제로 이를 완벽히 대비할 수 있느냐에 대해서는 확답하기 어려운 형편이다.

증권업계 관계자는 "보안 취약점에 대한 실시간 사전 대비는 전문인력과 예산의 확보 측면에서 어려움이 있을 수밖에 없다"며 "점점 고도화되는 AI 기반 해킹의 특성 상 전수 점검과 즉각적인 방어망 구축에는 한계가 있다"고 밝혔다.

또 다른 증권업계 관계자는 "최근 발생하고 있는 해킹 사고는 상위 모델의 AI를 활용한 고난이도 해킹이라기 보다 회사 자산 누락 등의 사례가 대다수라고 파악하고 있다"며 "회사가 보유한 서버, PC 등 자산에 대한 전수조사와 이를 통합관리 할 수 있는 시스템 선행이 중요하다"고 설명했다.
한편, 금융거래로 다양한 채널에 노출돼 있는 투자자, 이용자 등의 2차 피해를 막기 위해 노력해야 하는 상황이다.

주요 정보가 암호화 처리됐거나 이른바 민감정보 유출은 발생하지 않았다고 하더라도, 제한적인 정보를 기반으로 한 피싱, 스미싱 시도 등에서 주의가 필요하다.

新 보안체계 속도 내는 정부

외부접점 등에 대한 전수 점검이 당국의 주요 대응 정책 중 하나다.

앞서 금융위원회는 지난 5일 이억원닫기이억원기사 모아보기 금융위원장 주재로 금융감독원, 금융보안원, 전 금융권 협회와 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 개최했다. 범정부적 공조 차원에서 협력도 더했다.

추진 안에 따르면, 은행·보험·증권 등 전통적 금융업 뿐 아니라, 전금업, 온투업 및 '전자금융거래법' 적용대상이 아닌 가상자산업권까지 포함한 전 금융업권 580여 개사 대상 외부접점·내부통제 전면 전수점검을 실시키로 했다. API(응용프로그래밍 인터페이스) 등 포함 IT 자산의 외부접점, 내부통제 체계 운영실태를 살피는 것이다. 대형 금융회사부터 취약점 분석·평가를 연 2회 이상 의무화하는 내용 등도 개선안에 포함됐다.

다만 해킹 사고에 대응한 금융당국 대책이 사후적 측면이 클 수밖에 없다는 점 등에서 한계는 거론된다. 금융권 해킹 사고 사례는 지난 주말까지 합쳐 총 38곳까지 늘어났다.

'CEO 책임·금전제재' 여부 주목…"통합관리 접근해야" 목소리

감독당국이 해킹 사고 금융사 경영진에 대한 책임성을 강조하면서 업계의 긴장감도 높아지고 있다.

이찬진닫기이찬진기사 모아보기 금융감독원장은 지난 3일 임원회의에서 최근 금융권 해킹사고와 관련 업권 별 대응 현황을 점검하고 IT 보안 강화 방안을 논의하면서 증권, 보험 등 해킹이 발생한 대형 금융회사의 경우 은행권 검사·제재 방침과 동일하게 "CEO(최고경영자) 등 경영진의 책임까지 엄중하게 묻겠다"고 언급했다.

책무구조도 적용 여부와 범위 등도 관심사다. 지난 2024년 7월 개정 금융회사 지배구조법 시행으로 책무구조도가 도입됐다. 이는 금융사고와 내부통제 실패에 대한 책임 범위를 사전적으로 배분해 놓은 것으로, 업권, 규모에 따라 단계적으로 적용되고 있다.

금전 제재 측면에서도 촉각이다. 특히, 금감원은 지난해 11월 발의된 전금법 개정안 통과를 위해 국회에 협조하겠다고 했다. 개정안은 기본 통제 부실, 보안 취약점 방치 등으로 해킹 사고가 발생한 경우 매출액의 3% 같은 징벌적 과징금을 예외없이 부과할 수 있도록 하는 내용이다.

다만 금투업계 한 관계자는 "단순 과징금 부과보다는 국가적 혹은 민간 차원에서 자산 현황을 체계적으로 파악할 수 있는 통합 시스템이 중요하다"며 "이미 제기돼 왔던 문제였으나 위기감이 높아지면서 필요성이 높아지고 있다"고 말했다.

정선은 한국금융신문 기자 bravebambi@fntimes.com