[이데일리 최정훈 기자] 금융당국이 긴급 보안점검을 실시한 금융회사 555개사 가운데 130개사에서 미흡 사항이 확인됐다. 최신 보안패치 미적용과 인증 누락 등 기본적인 통제의 허점이 드러난 가운데 해킹 사고가 확인된 금융회사도 16개사로 늘었다. 당국은 보안체계 전수점검과 제도 개선을 추진하기로 했지만, 반복된 점검이 실제 취약점 해소로 이어지는지 검증해야 한다는 지적이 나온다.

4일 서울 시내에 설치된 여러 은행 ATM기.(사진=연합뉴스)

금융위원회는 14일 신진창 사무처장 주재로 금융감독원·금융보안원과 관계부처 등이 참여하는 ‘제2차 긴급 상황대응 회의’를 열었다. 지난 8일까지 진행한 전 금융권 12개 항목 자체 점검 결과를 확인하고 사고 재발 방지 방안을 논의했다.

점검 대상의 23.4%인 130개사가 미흡 사항을 보고했다. 최신 보안패치 미적용, 제조사의 기술지원이 종료된 시스템 관리 미흡, 24시간 보안관제체계 미구축 등이 확인됐다. 외부 시스템의 인증·접근권한 검증 누락과 중요 서비스의 다중인증 미도입도 드러났다. 전자금융업·온라인투자연계금융업에서는 비교적 많은 미흡 사항이 발견됐다.

사고 범위도 넓어지고 있다. 당국이 확인한 사고 금융회사는 은행·저축은행·상호금융·캐피탈·전자금융업자·가상자산사업자 등 16개사로, 정보유출은 약 10만건이다. 성명·연락처·주민등록번호 등이 포함됐고, 계좌번호·카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다. 추가 확인이 진행 중이어서 사고 회사는 더 늘어날 수 있다.

다만 추가로 확인된 사고가 긴급점검 이후 발생한 새로운 침해인지, 기존 유출을 뒤늦게 발견한 것인지는 구분해야 한다. 당국은 개별 사고의 연관성과 동일 공격자 여부, AI 활용 가능성 등을 조사하고 있다.

당국은 긴급점검에 이어 외부 접점·인증체계·내부통제 등 보안관리 전반을 전수점검할 방침이다. 외부와 연결된 전산 접점을 빠짐없이 목록화하고 접근권한과 경영진의 책임범위를 명확히 할 방침이다. 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 확대하고 긴급 수시점검 근거 마련도 추진한다.

그러나 점검 횟수를 늘리는 것만으로 개별 서비스의 허점을 모두 찾아내기는 어렵다는 지적이 나온다. 보안업계 관계자는 “점검은 당장 확인된 공격 경로를 차단하는 데 의미가 있지만 모든 서비스의 취약점을 짧은 기간에 찾아내기는 어렵다”며 “점검 완료 보고뿐 아니라 보완 조치가 실제 작동하는지 확인하는 절차가 필요하다”고 말했다.

당국은 금융회사가 자체 발견한 위협정보를 공동으로 공유하도록 하고 AI 기반 취약점 점검 인프라와 중소형 금융회사 공동 보안관제 구축도 추진하기로 했다. 금융권 관계자는 “AI로 이상 징후 분석을 지원할 수는 있겠지만 도입만으로 보안 문제가 해결되는 것은 아니다”며 “탐지 이후 차단·조치로 이어지는 체계를 갖춰야 한다”고 말했다.

신진창 사무처장은 수차례 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 지켜지지 않은 사례가 발견된 것을 두고 “매우 뼈아픈 부분”이라고 지적했다. 그는 이어 “이번 사고를 계기로 금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것”이라고 강조했다.