[임기범의 AI 혁신 스토리] AI 해킹 시대, 금융보안의 과제

다음 내용이 궁금하다면?

불편하시다면 뒤로 가기를 눌러주세요

인공지능(AI)이 해킹 도구로 쓰이기 시작한 시대에 국내 금융권이 연쇄 해킹을 당했다. 지난달 30일 접수된 신한은행 침해사고로 시작된 사태는 2주 만에 전 업종으로 번졌다.

금융위원회가 지난 14일 '제2차 긴급 상황대응 회의'에서 내놓은 중간 집계를 보면 은행, 저축은행, 상호금융, 여신전문업체, 전자금융업체, 온라인투자연계금융업체, 가상자산사업자 등 전 업무 권역에서 16개사의 침해사고가 확인됐고, 유출된 정보는 약 10만건이다. 계좌 비밀번호나 카드번호처럼 곧바로 부정결제에 쓰일 수 있는 정보의 유출은 확인되지 않았지만, 금융회사들이 공유된 공격 IP로 추가 침해 여부를 대조하고 있어 피해 회사는 더 늘어날 수 있다.

같은 날 공개된 점검 결과는 더 뼈아프다. 금융회사 555곳이 12개 항목을 자체 점검한 결과 130곳이 보완할 사항이 있다고 보고했다. 전체의 23.4%다. 보안패치 미적용, 제조사 기술지원이 끝난 시스템 관리 미흡, 실시간 관제 체계 미구축, 대외 시스템 인증·인가 누락 같은 기본 항목들이다. 신진창 금융위 사무처장은 롯데카드 정보유출과 '미토스 쇼크' 이후 여러 차례 전수점검을 주문했는데도 기본이 지켜지지 않은 사례가 나온 것은 "매우 뼈아픈 부분"이라고 했다.

뚫린 자리도 눈여겨봐야 한다. 공격자가 들어간 곳은 대출모집인이 쓰는 모바일 간편조회 서비스, 직원용 모바일 업무 지원 시스템, 영업지원시스템 같은 외곽이었다. KB국민·신한·하나은행 3곳이 지난 1년간 정보보호에 쓴 예산은 1천239억원이 넘지만, 이들 은행은 핵심 거래망이나 대고객 채널이 아닌 업무지원 시스템에서 취약점을 드러냈다. 돈은 고객 접점에 몰렸고, 구멍은 그 바깥에 있었다.

모든 사고에 AI가 쓰였는지는 아직 확인되지 않았다. 금융감독원과 금융보안원은 침해 경로와 공격 방식, 사고 간 연관성, 동일 공격 주체 여부와 함께 AI 활용 가능성을 조사하고 있다. 다만 여러 은행에서 같은 공격 IP와 AI 도구 관련 흔적이 확인되면서 취약점 탐색부터 공격까지 자동화하는 AI 해킹 가능성이 제기됐다.

미국 AI 기업 앤트로픽이 4월 7일 '클로드 미토스'를 공개한 뒤 이 모델이 기존 소프트웨어에서 수천 건의 신규 취약점을 찾아 공격 코드로 연결하는 능력을 보이자 우리 정부도 민·관·군에 AI 기반 사이버 위협 대응 체계 점검을 주문했다. AI가 공격의 속도와 규모를 바꾸고 있다는 점은 분명하다.

공격자의 능력이 이렇게 빨리 향상되는 동안 금융회사는 얼마나 준비돼 있었을까. 필자가 묻고 싶은 것은 공격 기술의 정체보다 우리 금융보안 체계가 향하는 방향이다. 이 체계는 사고를 막고 피해를 줄이는 데 맞춰져 있는가, 사고 뒤에 '규정은 지켰다'고 말할 근거를 쌓는 데 맞춰져 있는가.

◇ 보안 투자의 성적은 금액으로 매길 수 없다

해킹 사고가 날 때마다 금융회사는 보안 투자를 늘리고 시스템을 전면 재점검하겠다고 발표한다. 투자액의 증감만 따져서는 답이 나오지 않는다. 물어야 할 것은 그 돈이 고객의 정보와 자산을 실제로 더 안전하게 만들었느냐다.

4대 금융지주의 2025년 합산 당기순이익은 17조9천588억원으로 역대 최대였다. 이만한 이익을 내는 금융그룹이라면 그에 걸맞은 보안 역량과 대응 체계를 갖췄는지 따지는 것이 당연하다. 국정감사에서 드러난 모습은 기대에 못 미쳤다. 국민은행의 지난해 정보보호 예산 집행률은 58%, 농협은행은 53%에 그쳤다는 지적이 나왔다. 신한은행은 해킹을 알아차리는 데 15시간 26분, 하나은행은 41시간 44분이 걸렸다. 국민은행은 지난달 27일 오후 11시19분 첫 공격을 받고 공격자 IP를 막았지만 29일 우회 공격으로 고객 81명의 정보가 추가로 빠져나갔고, 유출 정황을 최종 확인한 것은 사흘 가까이 지난 30일 오후 7시께였다.

노후 시스템 교체, IT 자산 정비, 업무 프로세스 개선, 조직 간 권한 조정은 모두 보안과 직결된다. 그러나 어느 한 부서가 혼자 풀 수 있는 일은 하나도 없다. 보안 투자를 부서별 예산 문제로 다루면 한계에 부딪히는 이유다.

보안 예산과 IT 예산을 가르는 일보다 회사 전체의 위험을 파악해 필요한 곳에 자원을 배분하는 일이 먼저다. 보안 투자 지표도 금액과 비율에 머물지 말고 그 활동이 위험을 얼마나 줄였는지를 보여줘야 한다. 경영진과 이사회는 보안을 비용 관리 항목에서 꺼내 핵심 경영 책임으로 다뤄야 한다.

◇ '피해 발생 시 전액 보상'이 남긴 빈칸

사고 직후 신한은행과 KB국민은행, 하나은행은 정보 유출로 피해가 발생하면 전액 보상하겠다고 밝혔다. 책임 있는 조치처럼 들리지만 필자는 이 표현에 의문을 갖는다. 피해가 발생해야 보상한다는 전제가 깔려 있기 때문이다. 개인정보가 유출됐지만 아직 금전 손실이 없다면 그 고객은 피해를 보지 않은 것일까.

유출된 주민등록번호는 쉽게 바꿀 수도, 되찾을 수도 없다. 언제 어디서 악용될지도 알기 어렵다. 몇 달 뒤 보이스피싱 피해를 당하더라도 고객이 이번 유출과의 인과관계를 입증하기는 사실상 불가능에 가깝다. 고객이 사기범에게 속아 직접 돈을 보낸 거래는 현행 보상 제도의 사각지대에 놓여 있다.

선례도 있다. 지난해 7월 랜섬웨어 공격을 받은 SGI서울보증은 피해 전액 보상을 약속했지만, 지난달까지 접수된 79건 가운데 인과관계가 확인된 24건(1천190만원)만 보상했다.

지난 19일 국회 정무위원회 국정감사에는 5대 시중은행장이 4년 만에 나란히 증인으로 출석했다. 국민은행이 보상 안내에 쓴 '입증된 피해'라는 표현은 고객에게 입증 부담을 떠넘긴다는 지적을 받았다. 이호성 하나은행장은 수수료 면제에 이어 고객의 금융안심보험 가입을 추진하고 있다고 했고, 정상혁 신한은행장은 금감원 검사 결과에 따라 경영진 배상 안건을 이사회에서 검토할 수 있다고 답했다. 진전이다. 그러나 구체적인 기준과 절차가 정해지지 않으면 전액 보상이라는 약속이 얼마나 실효성 있게 작동할지 가늠하기 어렵다.

이제 한 걸음 더 나아가야 한다. 금융회사가 관리하던 개인정보의 유출이 확인되면 고객이 개별 피해를 입증하지 않아도 기본 보상이 먼저 이뤄지도록 제도를 고쳐야 한다. 유출된 정보의 종류와 위험에 따라 보상 수준을 정하고, 명의도용 방지와 신용정보 감시 같은 추가 피해 예방 조치도 금융회사 비용으로 제공해야 한다. 이후 금전 피해가 생기면 별도로 배상하되, 유출과의 관련성이 합리적으로 인정되는 경우에는 조사와 입증의 부담을 금융회사가 더 크게 져야 한다.

사고를 숨기거나 신고를 늦춘 금융회사에는 엄격한 가중 제재가 뒤따라야 한다. 이번 국감에서는 국민은행 내부에서 사고 관련 로그 삭제 지시가 있었다는 제보가 공개됐고, 이환주 행장은 은폐 지시는 없었다고 부인했다.

제재 수단도 손봐야 한다. 해킹으로 개인신용정보가 유출되면 지금은 신용정보법에 따라 최대 50억원의 과징금을 물리는데, 2014년 카드3사 정보유출 사태 때 정한 이 상한은 12년째 그대로다. 반면 9월 11일 시행된 개정 개인정보보호법은 고의·중과실에 따른 반복 위반이나 1천만명 이상 대규모 피해 같은 요건에 해당하면 전체 매출액의 최대 10%까지 과징금을 매길 수 있게 했다.

정보를 맡긴 고객이 유출의 위험과 부담을 떠안는 구조는 바뀌어야 한다. 그 부담은 정보를 관리한 금융회사의 몫이다.

◇ 규정은 최소 기준이다

금융보안의 문제를 금융회사 책임으로만 돌릴 수는 없다. 그동안의 감독 방식이 금융회사의 소극적인 보안 관행을 키우지 않았는지 금융당국도 돌아봐야 한다.

2024년 2월 1일 금융위원회는 금융보안 규제를 원칙 중심으로 바꾸는 금융보안 선진화 방안을 내놓으며 금융회사가 '규정만 준수하면 면책'이라는 소극적인 인식에서 벗어나야 한다고 강조했다. 2006년 만들어진 전자금융감독규정이 구체적인 보안 수단과 방법을 열거식으로 정해 금융회사의 소극적 행태를 낳는다는 진단이었다. 처방은 원칙 중심의 보안규제 개편, 사후 책임성을 강화하는 법률 개정, 자율보안 중심으로의 전환이라는 3단계였다. 당국도 기존 체계의 문제를 알고 있었다는 뜻이다.

그로부터 2년 8개월이 지났다. 사후 책임을 강화할 법 개정은 제자리다. 대표이사를 전자금융거래 안전성 확보의 최종 책임자로 명시하고 침해사고로 정보가 유출되면 매출액의 3% 이하 과징금을 물리는 전자금융거래법 개정안은 지난해 11월 발의돼 올해 3월 상임위에 상정됐지만 법안심사소위원회에서 한 번도 논의되지 않았다.

금융위가 2024년 8월 예고한 '디지털 금융보안법'은 이름을 '디지털금융안전법'으로 바꿨을 뿐 아직 법안이 나오지 않았고, 정부가 국정과제로 내건 금융 보안사고 징벌적 과징금 신설도 1년째 진척이 없다. 지난해 롯데카드에서 고객 297만명의 정보가 유출된 뒤 범부처 대책에 담겼던 처;거걍양지(CEO) 보안 책임 법제화와 과징금 상향도 마찬가지다.

그리고 우리는 다시 대규모 정보유출 사고와 마주했다. 금융위는 CEO와 정보보호·정보기술 담당 임원의 보고체계와 책임 범위를 명확히 하고, 대형 금융회사의 취약점 점검·평가 주기를 연 1회에서 연 2회 이상으로 늘리겠다고 밝혔다.

이제 금융당국에도 물어야 한다. 그동안의 정책은 금융회사의 보안 수준을 실제로 얼마나 끌어올렸는가. 위험을 스스로 찾아내고 줄이는 금융회사를 길러내는 데 성공했는가.

규정은 필요하다. 그러나 규정은 최소한의 기준이다. 금융회사가 규정을 지켰다는 이유로 책임을 다했다고 여기고, 당국도 규정을 점검했다는 사실에 만족한다면 새로운 위협에 능동적으로 대응하기 어렵다.

경영진의 책임도 같은 관점에서 봐야 한다. 해킹을 당했다는 사실만으로 경영진을 처벌하자는 데에는 필자도 동의하지 않는다. 그러나 중대한 보안 위험을 알고도 방치했거나 비용 절감과 단기 실적을 앞세워 필요한 개선을 미뤘다면 경영진에게 실질적인 책임을 물어야 한다. 보안 관리의 결과는 경영진의 성과평가와 보수, 연임에 반영돼야 한다.

다만 책임을 잘게 나누고 입증하는 절차에만 매달려서는 곤란하다. 책임 체계의 목적은 사고가 나기 전에 필요한 결정을 내리고 실행하게 만드는 데 있다. 사고 뒤 책임자를 가려낼 서류를 쌓는 것으로는 그 목적을 이룰 수 없다.

◇ 금융보안의 성적표는 고객 보호

AI는 앞으로도 발전하고 사이버 공격은 더 정교해질 것이다. 모든 해킹 사고를 완벽하게 막겠다고 장담하기는 어렵다. 그렇다고 금융회사의 책임이 가벼워지지는 않는다. 위험이 바뀌는 속도가 빨라질수록 그 위험을 꾸준히 찾아내 줄이고, 사고가 나면 고객 피해를 최소화하고 회복시키는 능력이 더 중요해진다.

금융당국도 금융회사가 규정을 잘 지키게 만드는 데서 멈춰서는 안 된다. 금융회사가 스스로 위험을 관리하도록 자율성을 주되, 그 책임을 실제로 이행하는지 감독해야 한다. 당국의 감독 성과 역시 실제 위험이 얼마나 줄었는지로 평가받아야 한다. 금융보안 제도는 책임을 다하지 않는 금융회사가 금융업을 이어가기 어렵게 설계돼야 한다.

점검표를 하나 더 만드는 것으로는 AI 시대의 공격을 막을 수 없다. 금융회사와 금융당국 모두 이제 질문을 바꿔야 한다.

"우리는 규정을 얼마나 잘 지켰는가"에서 "고객의 정보를 얼마나 잘 지키고 있는가"로.

임기범 인공지능 전문가

▲ 한국특수정보인증원 최고 AI 책임자(CAIO) ▲ 서울과학종합대학원 대학교(aSSIST) 객원교수 ▲ AI경영학회 상임이사 겸 학술분과 위원장 ▲ 전 ㈜컴팩 CIO ▲ 전 신한 DS 디지털 전략연구소장

인하대, 아연 기반 구조전지 개발…하중 견디고 전기 저 SK이노, 돌봄 종사자 50명 대상 '힐링캠프'…재충전

인기상품 확인하고 계속 읽어보세요!

원치 않을 경우 뒤로가기를 눌러주세요.