해킹 전말 질의에 은행장들 '진땀'…보안 실효성 개선 '시급' [2026 국감-금융감독원①]

[한국금융신문 장호성 기자] “최초로 CEO의 내부통제 기준 관리 책임 의무가 다루어지는 사안이 될 것”

이찬진닫기이찬진기사 모아보기 금융감독원장이 은행권 해킹·개인정보 유출 사고의 은행장 책임에 대한 입장을 밝혔다.

잇따른 정보 유출에 대한 감독당국의 점검이 은행장의 사고 예방과 관리·감독 의무 이행 여부까지 포괄하면서, 은행권 보안체계와 경영진 책임이 함께 검증대에 올랐다.

19일 열린 국회 정무위원회의 금감원 국정감사에서는 신한·KB국민·하나은행 등에서 발생한 정보 유출 사고를 놓고 경영진이 보안 위험을 적절히 관리했는지가 핵심 쟁점으로 떠올랐다. 외부 서비스와 연결되는 접점의 취약점을 사전에 파악했는지, 이상 징후를 보고받고 필요한 조치를 취했는지, 보안 인력과 예산을 충분히 확보했는지가 향후 책임 판단의 주요 확인 대상이 될 전망이다.

은행권의 후속 대응은 외부 연결 서비스 점검과 보안 투자 확대, AI 기반 위협 탐지체계 구축에 경영진의 보고·점검 절차를 결합하는 방향으로 이어질 것으로 보인다. 국감장에서 제시한 재발 방지와 피해보상 약속을 구체화하고, 취약점 발견부터 시정까지의 과정을 경영진이 지속적으로 확인하는 체계를 갖추는 일이 과제로 남았다.

외부접점 늘어난 은행…자체점검 뒤 실제 작동 여부 검증해야

이번 국감에서 외부 전산망과의 연결지점 관리가 거듭 거론된 배경에는 금융회사들의 기본적인 보안조치조차 충분히 이행되지 않았다는 문제가 있다.

금융위원회가 지난 14일 발표한 금융권 555개사 대상 자체점검 결과에서는 130개사가 일부 항목의 미흡사항을 보고했다. 최신 보안패치 미적용과 실시간 관제체계 미구축, 외부 시스템의 인증·접근통제 미흡 등이 확인됐다. 새로운 공격 수법에 대응하는 기술과 함께 기존 시스템의 취약점을 제때 보완하는 운영 역량도 점검해야 하는 상황이다.

외부 업무시스템이 늘어나면 은행이 관리해야 할 접근 경로와 권한도 함께 증가한다. 어떤 시스템이 외부에 연결돼 있고 누가 접근할 수 있는지, 보안패치와 인증절차가 빠진 곳은 없는지를 지속적으로 확인해야 한다. 최초 점검 당시 문제가 없었더라도 시스템을 추가하거나 변경하는 과정에서 새로운 취약점이 생길 수 있다는 점에서 관리의 연속성이 중요하다는 것이다.

한민수 더불어민주당 의원이 이날 자체점검에서 ‘적정’으로 보고한 금융회사도 다시 살펴야 한다고 요구한 것은 이러한 점검의 신뢰성 문제와 맞닿아 있다. 이찬진 금감원장은 외부에 노출된 전산시스템을 다시 전수조사하도록 지시했다고 답했다.

이에 따라 은행들은 외부 연결시스템의 목록을 정비하는 데서 나아가 인증·접근통제와 취약점 보완이 실제로 작동하는지를 확인해야 할 것으로 보인다. 금융위도 외부접점 목록화와 권한 관리 정비, 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 확대하는 방안을 추진하고 있다.

보안 투자 확대하는 국민·신한…집행 이후 탐지·대응 성능이 관건

은행들이 예고한 AI 보안 투자와 인력 확충도 구체적인 운영 성과로 확인해야 할 과제다. 이날 국감에서 드러난 사고 인지 지연은 보안시스템의 존재와 실제 대응능력 사이에 간극이 있음을 보여줬다.

김재섭 국민의힘 의원이 제시한 자료에 따르면 최초 해킹 발생부터 사고 인지까지 국민은행은 67시간 41분, 하나은행은 41시간 44분, 신한은행은 15시간 26분이 걸렸다. 향후 보완책에서는 이상 징후를 발견하지 못한 이유와 발견 이후 대응 과정에서 시간이 지체된 원인을 구분해 살펴야 한다. 탐지 기능을 강화하더라도 확인과 차단, 내부 보고가 신속하게 이어지지 않으면 사고 확대를 줄이는 데 한계가 있기 때문이다.

박성훈 국민의힘 의원이 국민은행의 정보보호 예산 집행률이 58% 수준에 그쳤다고 지적한 것도 투자계획의 실행 여부를 확인하는 문제다. 예산 집행은 보안 강화를 위한 출발점이며, 투자 효과를 판단하려면 새 시스템의 적용 범위와 취약점 개선 결과, 사고 탐지에 걸리는 시간까지 함께 확인할 필요가 있다.

은행들은 국감에 앞서 보완 작업에 착수한 상태다. 신한은행은 외부 전문가를 포함한 인프라 보안 대응 전담반과 운영관리 자동화를 추진하고 있다. 자체점검과 외부 검증을 병행하고 긴급 도입한 외부 전문가 서비스를 상시 계약으로 전환한다는 계획도 제시했다. 취약점을 발견한 뒤 실제 조치까지 걸리는 시간을 줄이는 방향이다.

국민은행은 약 51억원 규모의 AI 위협 대응 사업을 연내 완료하는 것을 목표로 추진하고 있다. 이환주닫기이환주기사 모아보기 국민은행장도 이날 국감에서 예산과 인력을 충분히 확보하고 AI를 활용한 공격에 대비하겠다고 밝혔다.

관리 범위는 내부 전산오류까지 확대될 가능성이 있다. 김형닫기김형기사 모아보기연 조국혁신당 의원이 토스뱅크의 환율 고시 오류와 송금 처리 오류를 함께 지적한 것은 고객 거래의 안전성이 외부 침입 차단만으로 확보되지 않는다는 점을 드러낸다.

이 원장이 가이드라인만으로는 한계가 있다며 금융위와 제도 보완을 협의하겠다고 답한 만큼, 은행들은 시스템 변경 전 검증과 거래 처리 결과의 이상 여부를 조기에 확인하는 체계도 보강해야 할 것으로 보인다.

정보유출 이후 보호절차 구체화…수집 단계부터 고객 부담 줄여야

고객보호에서는 정보유출 통보 이후 은행이 어디까지 지원할 것인지가 후속 쟁점으로 남았다. 유출 사실을 알리는 것과 고객이 실제 위험을 이해하고 피해 발생 시 도움을 받는 것은 서로 연결돼야 할 절차다.

김재섭 의원은 국민은행의 보상 안내에 ‘입증된’ 피해라는 표현이 포함된 점을 들어 고객에게 피해 입증 부담을 넘길 수 있다고 지적했다. 하나은행에 대해서도 보상 방침이 명확하지 않다고 비판했다. 정보가 유출된 고객이 피해를 확인하고 은행에 접수하는 과정까지 구체적으로 설계해야 한다는 요구로 해석된다.

이호성닫기이호성기사 모아보기 하나은행장은 수수료 면제 등의 조치를 진행했으며 고객 동의를 거쳐 금융안심보험 가입도 추진하겠다고 답했다. 현재까지 확인된 금전 피해는 없지만 향후 피해가 발생하면 전액 배상하겠다고 밝혔다.

손명수 더불어민주당 의원이 지적한 개인정보 불법거래 실태는 사후 보호가 필요한 이유를 보여준다. 유출된 정보가 다른 정보와 결합해 보이스피싱이나 스미싱에 악용될 가능성을 고려하면, 은행의 후속 조치에는 고객 안내와 이상거래 감시, 피해 신고 지원을 연결하는 방안이 포함될 필요가 있다. 은행별 대응의 실효성도 이러한 절차가 고객에게 얼마나 쉽게 제공되는지에 따라 달라질 수 있다.

개인정보를 수집하는 단계의 관리도 과제로 떠올랐다. 조정훈 국민의힘 의원은 은행들이 필요 이상의 정보를 수집하는 것은 아닌지 살펴야 한다고 요구했다. 고객이 이해하기 어려운 약어와 불명확한 필수·선택 구분, 동의 버튼을 크게 표시하는 화면 구성도 지적했다. 우리은행의 개선 속도가 더디다는 질의에 정진완 행장은 시정에 속도를 내겠다고 답했다.

장호성 한국금융신문 기자 hs6776@fntimes.com