신한·KB·하나 보안 허점…금융위, 외부접점 전수점검·은행별 대응 구체화 주문 [금융안전망 점검]

[한국금융신문 장호성 기자] 주요 시중은행의 연쇄 정보유출 사고를 계기로 외부 업무시스템의 접근권한 관리와 보안예산 집행, 경영진의 위험 대응이 함께 점검대에 올랐다.

신한은행과 KB국민은행, 하나은행의 보안 자체점검에서 일부 미흡사항이 보고된 가운데, 은행별 보안예산 편성과 집행 사이의 간극도 드러났다.

금융당국은 외부 연결접점 전수점검과 위협정보 공유 확대를 추진하고, 은행들도 AI 방어체계 구축과 예산·인력 확충에 나서고 있다. 사고 이후 제시한 투자·점검 계획을 예정된 일정에 맞춰 실행하고 실제 취약점 개선으로 연결할 수 있을지가 재발방지 대책의 실효성을 가를 전망이다.

신한·KB·하나, 외부 업무시스템 접근권한 관리 난항

금융위는 14일 신진창 사무처장 주재로 ‘제2차 긴급 상황대응 회의’를 열고 금융권 침해사고 조사 경과와 보안관리 강화방안을 논의했다.

신한은행 사고 전후로 침해사고가 확인된 금융회사는 은행·저축은행·캐피탈 등 여러 업권에 걸쳐 16곳이며, 개인정보 유출 규모는 약 10만건으로 파악됐다. 사고 간 연관성과 동일 공격 주체 여부, AI를 활용한 해킹 가능성 등은 조사 중이다.

은행권에서는 외부에서 접근할 수 있는 업무용 시스템이 주요 점검 대상으로 떠올랐다. 신한은행은 대출모집인용 조회 서비스, KB국민은행은 직원용 모바일 업무지원시스템, 하나은행은 영업지원시스템(ODS)에서 정보유출이 발생했다.

국회 정무위원회 소속 박민규 더불어민주당 의원이 금융감독원으로부터 제출받은 자료에 따르면, 지난 8일까지 12개 항목으로 구성된 체크리스트를 통해 자체 점검한 금융사 555개사 중 130개사가 일부 항목에서 '미흡'을 보고했다. 특히 신한·KB국민·하나·BNK부산은행 등 정보 유출 사고가 발생한 은행업권에서는 32개사 중 6개사(18.8%)가 '미흡'을 보고했다.

은행권이 공통으로 미흡하다고 자체 평가한 부분은 서비스 요청의 정상 여부와 고객정보 조회 권한을 검증하는 통제 관련 항목이다. 이용자가 로그인한 이후에도 다른 고객의 정보에 접근하지 못하도록 요청 단계마다 권한을 확인하는 절차가 핵심이다. 은행권 한 관계자는 "내부 망에서 아무리 안전하게 정보를 관리하더라도 협력사 등과의 거래 과정에서 정보가 유출되는 경우가 발생하는 경우가 대다수"라고 설명했다.

KB 58.1%·우리 53.8%…예산 편성-집행 사이 간극

보안투자에서는 은행별 예산 집행과 사업 내용이 쟁점이다. 국회 정무위원회 소속 박성훈 국민의힘 의원실이 금융당국으로부터 제출받은 자료에 따르면 전산장애 발생 상위 20개 금융회사의 지난해 정보보호 예산 집행률은 69.6%였다. 조사 대상 가운데 11곳은 집행률이 80%를 밑돌았다.

KB국민은행은 지난해 676억1300만원을 편성하고 392억9700만원을 집행해 집행률이 58.1%였다. 우리은행은 786억5900만원 가운데 423억2700만원을 집행해 53.8%를 기록했다. 두 은행의 미집행액은 합계 646억4800만원이다.

신한은행은 452억9400만원 중 316억7500만원을 집행해 집행률이 69.9%였다. 올해 상반기 집계된 정보보호 예산 편성액은 405억9100만원으로 지난해보다 10.4% 줄었다. 같은 기준 우리은행의 편성액도 615억6600만원으로 21.7% 감소했다. 반면 KB국민은행의 올해 편성액은 860억7500만원으로 27.3% 늘었다.

예산 미집행을 ‘투자축소’로만 해석할 수는 없다. 사업 일정과 계약금액 등에 따라 차이가 발생할 수 있기 때문이다. 그럼에도 불구하고 두 자릿수의 미집행률이 발생한 것은 실질적인 보안대책 이행에 변수가 있었다는 의미로 읽힐 수 있다.

이 같은 집행 실적은 사고 이후 은행들이 내놓은 보안투자 확대 계획에도 검증 과제를 남겼다. 대부분의 은행들의 보안투자 집행률이 70%를 밑돈 가운데, 향후 투자 확대의 실효성은 확보한 예산이 필요한 시스템 보완과 전문인력 확충에 제때 투입되는지에 따라 평가받을 전망이다.

우리 11월 전수점검·농협 연내 시스템 도입…은행별 보안대책 구체화

금융당국은 사고 발생 금융회사에 현장 조사인력을 파견하고 공격자 IP 공유·차단과 고객 보호조치를 진행하고 있다. 금융위는 금융회사가 자체 탐지한 위협정보도 통합관제시스템(FIRST) 등을 통해 공유하도록 체계를 개선할 계획이다. 외부 연결접점과 접근권한 관리 전수점검, 대형 금융회사의 취약점 점검·평가 주기를 연 2회 이상으로 확대하는 방안도 추진한다.

KB국민은행은 약 51억원 규모의 AI 위협 대응 보안사업을 올해 말 완료 목표로 추진하고 있다. 내년 정보보호 예산은 1000억원 이상으로 확대 편성할 계획이다. 개인정보 유출사고 대응 태스크포스(TF)를 운영하면서 보안체계 점검과 신규 투자사업을 병행하고 있다.

신한은행은 긴급 도입한 외부 전문가 서비스를 상시계약으로 전환해 외부 공격에 노출된 지점을 지속적으로 점검할 계획이다. 단말기·서버와 네트워크의 위협 탐지·대응체계를 확대하고, AI가 공격을 식별·통제하는 보안관제센터 구축도 추진한다.

하나은행은 수백억원 규모의 보안체계 구축을 추진한다. AI 기반 자동 모의해킹과 보안패치 자동화, 단말기·서버 위협 대응체계를 강화하는 사업이 중심이다. 이상행위 탐지·분석과 네트워크 위협 대응, 침해사고 분석체계 개선 등 추가 사업은 올해 4분기부터 내년 1분기 사이 착수를 예상하고 있다.

우리은행은 내부 화이트해커와 외부 전문업체가 참여하는 웹·모바일 앱 전수 취약점 점검을 11월 말까지 마칠 예정이다. 해외 접속이 필요하지 않은 서비스에는 해외 IP 접근 차단조치를 취했다. 내년 보안시스템 구축 등을 위한 예산을 올해보다 20% 이상 늘리고, 전문인력을 현재보다 10% 이상 확충하는 방안도 검토하고 있다.

NH농협은행은 연내 서버용 위협 탐지·대응 시스템을 도입하고 내년 상반기 대응체계의 실효성을 검증할 계획이다. AI 기반 보안관제 고도화와 공격 시뮬레이션도 추진한다. 내년 하반기에는 공격자 관점에서 취약점을 점검하는 자체 ‘AI 레드티밍’ 시스템을 도입할 예정이다.

BNK부산은행은 개인정보 노출이 확인된 웹페이지를 차단하고 추가 이상 징후에 대한 모니터링을 진행했다.이에 더해 AI 기반 공격 감시를 강화하고, 외부 공개용 웹페이지 전반을 대상으로 공격에 노출될 수 있는 지점을 찾아내는 공격표면관리(ASM) 방식의 추가 점검을 실시하겠다는 방침도 밝혔다.

장호성 한국금융신문 기자 hs6776@fntimes.com