보안 AI 활용 제약·외부접점 관리 허점 도마…이억원, 망분리 규제 개선 검토 [2026 국감-금융위③]

[한국금융신문 지다혜 기자] 최근 금융권을 겨냥한 연쇄 해킹은 금융회사의 보안체계가 얼마나 촘촘한지뿐 아니라 현행 규제가 새로운 공격 수법을 따라가고 있는지까지 시험대에 올렸다. 인공지능(AI)을 활용한 공격은 빠르게 고도화되는 반면 금융사는 망분리 규제로 외부 클라우드 기반 보안 AI 활용에 제약을 받고 있다. 사고 이후 과거 접속 기록을 확인하는 기간도 금융회사마다 달라 같은 '이상 없음'이라는 판단의 신뢰도까지 문제로 떠올랐다.

국정감사에서는 이런 간극이 집중적으로 다뤄졌다. 금융위원회는 망분리 규제를 단계적으로 개선하는 한편 외부 시스템과 응용프로그램인터페이스(API), 보안점검 체계를 다시 들여다보겠다고 밝혔다. 디지털자산 분야에서도 시장 변화 속도를 제도가 따라가지 못한다는 지적이 나오면서 원화 스테이블코인을 포함한 디지털자산기본법 논의에 속도를 내기로 했다.

AI 공격 고도화 속 금융사 방어수단 한계

8일 국회 정무위원회의 금융위원회 국정감사에서 먼저 부각된 것은 공격 기술과 방어수단 사이의 격차다. 최근 금융권 해킹은 대출모집인 조회 페이지와 직원용 모바일 애플리케이션, 외부업체 프로그램 등 외부와 연결되는 접점에서 발생했다. 공격 대상이 다양해질수록 사람이 방대한 접속 기록과 이상징후를 일일이 분석하는 기존 방식만으로는 빠른 탐지에 한계가 생길 수밖에 없다.

지난달 말부터 신한은행을 비롯한 금융사 7곳에서 해킹 피해가 잇따랐고, 국감에서 제시된 개인정보 유출 규모는 6만8000건에 달했다. 대출모집인 조회 페이지와 직원용 모바일 앱, 외부업체 프로그램 등 외부와 연결된 업무 시스템이 공격 지점으로 거론되면서 핵심 전산망 밖의 보안 사각지대 관리 필요성이 커졌다.

박민규 더불어민주당 의원이 AI 기반 보안관제 필요성을 제기한 배경도 여기에 있다. AI가 로그와 접속 패턴을 실시간 분석하면 사람이 놓치기 쉬운 이상징후를 보다 빠르게 찾아낼 수 있지만 상당수 보안 AI는 인터넷·클라우드 기반으로 제공된다. 금융권에 적용되는 망분리 체계에서는 활용 범위가 제한될 수 있다.

금융위도 이미 이런 한계를 인식해 보안 목적 AI에 대한 망분리 규제 완화 실증을 진행하고 있다. 다만 국감에서는 실증 기간이 1년에 불과하고 연장 조항이 없는 만큼 대규모 투자가 필요한 금융사가 적극적으로 참여하기 어렵다는 지적이 나왔다. 신청 자격을 갖춘 49개사 가운데 실제 신청은 20개사에 그쳤다는 수치도 제시됐다.

이억원닫기이억원기사 모아보기 금융위원장은 "AI를 막으려면 결국 AI를 쓸 수밖에 없다"고 말했다. 망분리 규제를 바꾸기 위한 단계적이고 효과적인 방법도 살펴보고 있다고 밝혔다. AI 활용 자체를 막는 방식에서 벗어나 안전장치를 전제로 방어 기술을 활용할 수 있도록 규제 틀을 바꿔야 한다는 방향은 분명해진 셈이다.

다만 망분리 완화만으로 최근 사고의 문제가 해소되는 것은 아니다. AI 도구를 허용하더라도 어떤 시스템까지 감시 대상에 포함할지, 이상징후가 발생했을 때 어떤 기준으로 대응할지가 함께 정비되지 않으면 새로운 기술을 도입하고도 기존의 관리 공백이 반복될 수 있다.

사전 경고에도 반복된 취약점…현장 관리 공백

사전에 관리 필요성이 제기됐던 외부 시스템과 API가 이번 사고에서도 취약 지점으로 거론됐다는 점도 문제로 지적됐다. 금융보안원은 지난해부터 AI가 금융회사의 외부 노출 자산과 공급망을 빠르게 탐색할 수 있다며 공격표면을 정확하게 식별·관리해야 한다고 안내해 왔다. 지난달에도 금융회사 보안 담당자를 대상으로 AI 보안 대응 세미나를 열었다.

그럼에도 최근 사고에서 외부 시스템과 API가 다시 취약 지점으로 나타났다. 한창민 사회민주당 의원은 사전에 위험을 알리고 점검을 권고했음에도 실제 금융회사 현장에서 제대로 관리되지 않은 이유를 따져 물었다.

이 위원장도 문제를 인정했다. 그는 "AI 해킹 위협은 계속 점증하고 있는데 우리의 대응 방식은 아주 기본적인 부분에도 굉장히 미흡하다"며 철저히 점검해 바꿔 나가겠다고 밝혔다.

여기서 핵심은 보안 관리의 우선순위다. 고객정보는 핵심 계정계에 저장돼 있든 대출모집인 시스템이나 업무지원 시스템에 있든 중요도가 달라지지 않는다. 하지만 핵심 뱅킹망과 비교해 주변 시스템이나 외부 연계 서비스가 상대적으로 관리 사각지대에 놓이면 공격자는 가장 약한 연결고리를 찾게 된다. 일부 은행이 모의해킹 점검을 받았음에도 실제 공격 대상이 된 보조 시스템이 점검 범위에 포함됐는지가 명확하지 않다는 지적이 나온 이유다.

높은 보안평가가 실제 방어력을 보장했는지도 따져볼 대목이다. 김현정 더불어민주당 의원은 신한은행 반기 보고서상 개인신용정보 보호 실태점검에서 6년 연속 S등급·100점을 받았지만 이후 대규모 정보유출 사고가 발생했다며 평가 방식의 실효성을 따져야 한다고 지적했다. 신한은행의 정보보호 예산과 실제 집행 수준도 문제 삼으며 책무구조도상 관리 책임까지 함께 점검해야 한다고 주장했다.

이 위원장은 이에 "AI 해킹 문제를 떠나서 기본적으로 지켜야 될 부분들이 안 지켜진 부분들도 많이 있다"고 답했다. 이번 사고가 단순히 새로운 AI 공격기법을 막지 못한 문제가 아니라 이미 존재하는 보안 절차와 투자·내부통제가 실제 현장에서 작동했는지까지 확인해야 할 사안이라는 의미다.

같은 '이상 없음'…조사 범위 신뢰성 논란

사고가 난 뒤의 점검 방식도 문제로 떠올랐다. 금융회사마다 과거 접속 기록을 확인한 기간이 다르면 같은 '이상 없음'이라는 결론이라도 의미가 달라질 수 있어서다.

김형닫기김형기사 모아보기연 조국혁신당 의원은 일부 금융회사가 최근 3개월 치 접속 기록을 확인한 반면 인터넷은행들은 1년 치를 점검해 과거 동일 의심 IP 접근 흔적을 확인했다고 지적했다. 동일 IP만으로 같은 공격자라고 단정할 수는 없지만, 3개월만 확인했다면 1년 치 점검에서 발견된 흔적 자체를 찾지 못했을 가능성이 있다.

금융감독원이 금융회사에 배포한 점검표에는 침해 시도나 피해 여부를 확인하도록 돼 있지만 어느 기간까지 살펴봐야 하는지는 명시되지 않았다는 지적도 나왔다. 금융회사 자율에 맡긴 점검범위가 지나치게 넓으면 회사마다 서로 다른 기준으로 '이상 없음'을 판단하게 되는 구조다.

사고 인지가 늦어지는 문제도 같은 맥락이다. 국감에서 제시된 금감원 자료에 따르면 2022년부터 올해 8월까지 금융회사가 사고를 파악하는 데 한 달 이상 걸린 사례가 91건, 1년 이상 걸린 사례도 17건이었다. 대부분 프로그램 오류 등 전산사고였지만 해킹에서도 수개월 뒤에야 사고를 파악한 사례가 제시됐다.

금융당국의 역할도 단순히 금융회사로부터 '문제 없음'이라는 결과를 받는 데서 끝나기 어렵다. 어느 기간을 점검했고 어떤 자산과 로그를 확인했는지, 그 결과를 뒷받침하는 근거가 무엇인지까지 확인해야 회사별 점검 결과를 동일한 기준에서 판단할 수 있다.

글로벌 규율 경쟁 속 국내 제도화 속도전

보안 분야에서 기술 변화에 비해 규제 대응이 더디다는 지적은 디지털자산으로도 이어졌다. 금융위는 가상자산이용자보호법 시행 이후 후속 입법을 추진하며 사업자·시장 규율과 함께 스테이블코인 발행자, 준비자산 운용 규제 등을 검토해 왔다. 이용자 보호를 넘어 발행·유통과 시장 질서까지 제도권 안으로 끌어들이겠다는 구상이다.

다만 세부 규율을 둘러싼 조율은 올해까지 이어지고 있다. 금융위는 지난 1월 원화 스테이블코인 발행 주체와 발행사의 주주구성 등이 확정되지 않았다고 밝혔고, 8월에도 가상자산거래소 대주주 지분 상한은 정해지지 않았다는 입장을 내놨다. 제도화 방향은 잡혔지만 발행 구조와 거래소 지배구조 등 이해관계가 엇갈리는 세부 쟁점은 여전히 남아 있다.

이런 상황에서 국감에서는 글로벌 시장 변화에 비해 국내 제도 정비가 늦다는 지적이 나왔다. 이강일 더불어민주당 의원은 미국과 유럽 등이 디지털자산 규율체계를 빠르게 마련하고 있다며 원화 스테이블코인과 거래소 라이선스 등 국내 시장의 제도적 틀도 조속히 마련해야 한다고 요구했다.

금융위는 제도 설계 자체가 이뤄지지 않았다는 지적에는 선을 그었다. 이 위원장은 디지털자산기본법과 스테이블코인 관련 내용을 "이미 준비해 놓았고 막바지 협의를 하고 있다"고 밝혔다. 스테이블코인 종류와 라이선스 등 세부 제도는 시장 상황을 보면서 정책적으로 정해 나가겠다고 설명했다.

정부안 제출 시점도 쟁점이 됐다. 민병덕 더불어민주당 의원이 제출 시점을 재차 묻자 이 위원장은 "거의 막바지 조율 중"이라며 최대한 빨리 정부안을 내놓겠다고 답했다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com