[현장] 해킹에 고개 숙인 박상원 금보원장…금융위원장 빠진 씁쓸한 ‘FISCON 2026’ [금융공기업 이슈]

[한국금융신문 장호성 기자] 박상원 금융보안원장이 지난 9일 발생한 금융보안원의 상시평가 시스템 해킹 사태와 관련해 공식적인 사과를 전했다.

박 원장은 12일 서울 여의도 콘래드서울에서 열린 ‘금융정보보호 컨퍼런스(FISCON) 2026’ 개회식에서 개회사가 아닌 ‘드리는 말씀’이라는 이름으로 운을 뗐다.

박 원장은 “금융보안 전문기관으로서 높은 수준의 보안을 유지해야 함에도 사고가 발생해 송구하다”며 “심려 끼쳐드린 점에 진심으로 사과드린다”고 두 차례 허리를 숙여 사과했다.
이어 추가 유출 여부와 사고 원인을 조사하고 있으며, 금융보안원의 모든 시스템을 점검해 재발 방지 대책을 마련하겠다고 밝혔다.

개최 20주년을 맞은 올해 행사는 사고 여파로 주요 내빈 일정이 취소됐다. 지난해 개회식에서 축사했던 이억원닫기이억원기사 모아보기 금융위원장도 올해 개회식에는 모습을 드러내지 않았다.

지난해엔 금융위원장 축사·유공자 포상…올해는 VIP 일정 전면 취소

지난해 11월 20일 같은 장소에서 열린 FISCON 2025 개회식에는 이억원 위원장과 유동수닫기유동수기사 모아보기 더불어민주당 의원, 이세훈 금융감독원 수석부원장, 주요 금융회사 최고경영자(CEO)와 유관기관장들이 참석했다.

이 위원장은 축사에서 금융회사 CEO의 보안 책임을 강화하고 디지털금융안전법 제정 논의에 착수하겠다고 밝혔다. 금융보안 발전 유공자 포상과 금융 AI 경진대회 시상도 이어지는 등 화기애애한 분위기에서 행사가 진행된 바 있다.
올해도 금융회사 CEO와 정보보호최고책임자(CISO) 등이 참석하는 VIP 일정을 준비했다. 당초 오전 8시 20분부터 20분간 VIP 개막식을 열고, 오전 8시 40분부터 30분간 별도 VIP 행사를 진행할 계획이었다.


금융보안원은 사고 이후 수정 일정표를 배포하면서 두 순서를 모두 삭제했다. 대신 9시경부터 일반 관람객 입장이 시작됐으며, 금세 수많은 인파가 몰리며 행사장이 가득 차는 모습을 보였다. 다만 별도의 VIP 세션이나 행사가 성사되지는 않았다.

평소라면 진행됐을 국민의례나 금융위원장이나 다른 VIP의 축사도 없이, 박상원 원장의 ‘드리는 말씀’이 진행된 후 곧바로 기조강연이 시작됐다. 20주년이라는 기념비적인 행사였지만 해킹 사태로 다소 초라하고 씁쓸한 형태로 시작된 셈이다.

상호금융권 48곳 자료 유출 추정

이번에 사고가 발생한 곳은 금융회사들이 개인신용정보 보호 실태를 자체 점검한 뒤 결과와 증빙을 제출하는 ‘정보보호 상시평가 지원 시스템’이다.

금융보안원은 올해 4월부터 약 3000개 금융회사를 대상으로 평가를 진행해 왔다. 보안원이 검토한 결과는 금융위에 전달돼 당국 검사 등에 쓰인다. 올해 보안원이 중점 점검 대상으로 제시한 항목에는 접근권한 관리와 접속기록, 침입 탐지·차단도 포함됐다.

금융보안원은 지난 9일 오후 정보 유출을 확인한 뒤 시스템 접속을 차단하고 금융위와 한국인터넷진흥원(KISA)에 신고했다. 10일 공개한 유출 내역은 개인신용정보 동의서 견본 등 행정서식 약 200건, 서식에 들어 있던 이름·생년월일 등 개인정보 300여건, 이메일과 일부를 가린 이름·휴대전화번호 등 시스템 이용자 정보 350여건이다.

보안원은 현재까지 확인한 유출 자료에 금융회사 시스템 구성도와 주민등록번호, 고객 개인신용정보 등은 포함되지 않았다고 밝혔다.

금융위·금감원 현장점검…보안원은 피해자 통지·전수점검 추진

금융위와 금감원은 11일 오전부터 금융보안원에 인력을 투입해 사고 경위와 접근권한 관리, 사고 직후 대응을 살피고 있다. 금융보안원은 경찰에 수사를 의뢰했고 경찰도 입건 전 조사에 착수했다. 금융당국은 사고가 난 시스템을 포함해 금융보안원 전체 시스템을 재점검하고 재발 방지 대책을 마련하라고 지시했다.

보안원은 관련 금융회사에 유출 사실을 개별 통보했다. 정보가 유출된 이용자 등에게도 유출 사실과 2차 피해 예방 사항을 안내하고, 2차 피해가 발생하면 적극 배상한다는 방침이다. 시스템 중단 공지에는 상시평가 이의신청 접수 기간을 연장한다는 내용도 담겼다.

이번 사고는 금융위가 금융보안원 여의도 분원에서 전 금융권 보안 대책을 발표한 지 불과 4일여만에 발생했다. 금융위는 지난 5일 발표한 대책에서 금융회사와 전자금융업자, 가상자산사업자 등 약 580곳의 외부 접점과 보안 내부통제를 전수점검하기로 했다. 자체점검이 부실하거나 중대한 취약점이 발견된 곳은 금감원과 금융보안원이 직접 현장점검에 나선다.

금융위는 관리대장에 올라 있는 시스템의 외부 접점 점검을 11월 30일까지, 미등재 시스템과 CEO·CISO의 보안 내부통제 점검을 12월 31일까지 마칠 계획이다. 대형 금융회사부터 취약점 분석·평가를 연 1회에서 2회로 늘리는 전자금융감독규정 개정안은 이달 중 예고한다. 지난해 FISCON에서 이 위원장이 제정 논의 착수를 예고한 디지털금융안전법은 2027년 1분기 법안 마련이 목표다.

장호성 한국금융신문 기자 hs6776@fntimes.com