이억원 "금융권 해킹 공동 대응해야···AI 방어체계 구축 시급"

외부 웹페이지 서버 등 관리 소홀 영역 공격 경로로 활용불필요한 외부 접근 차단···고객정보·인증체계 전면 점검

이억원 금융위원장이 4일 오후 서울 종로구 정부서울청사에서 열린 '최근 침해위협 대응 전금융권 긴급 점검회의'에서 모두발언을 하고있다. 사진=이수길 기자

이억원 금융위원장이 4일 상대적으로 관리가 소홀한 영역이 해커의 공격 경로로 활용되고 있다며 금융권 공동 대응체계를 강화할 것을 주문했다. 인공지능(AI)을 활용한 해킹 가능성에도 대비해 'AI로 공격하면 AI로 방어하는' 보안체계 전환도 서둘러야 한다고 강조했다.

이 위원장은 이날 서울 종로구 정부서울청사에서 열린 금융권 해킹 비상대책회의 모두발언에서 이렇게 말했다. 이 자리는 최근 시중은행부터 제2금융권까지 해커의 사이버 공격 피해가 잇따르자 대책을 마련하기 위해 마련됐다.

이날 회의에는 금융감독원을 비롯해 은행·금융투자·보험·여신전문금융·저축은행·상호금융·가상자산·핀테크 등 금융업권별 협회장과 최근 침해사고가 발생한 금융회사 최고경영자(CEO)들이 참석했다.

4일 금융위원회가 금융감독원과 금융권 주요 관계자들과 긴급회의를 열고 있다. 사진=이진실 기자

이 위원장은 "최근 며칠간 잇따라 발생한 금융권 침해사고로 국민들의 우려가 커지고 있다"며 "여러 금융업권에서 침해사고가 단기간에 다수 발견되고 있는 만큼 현재 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 한다"고 말했다.

최근 발생한 사고의 공통적인 취약점으로는 금융회사의 외부 접점을 꼽았다. 그는 "현재 사실이 파악된 사고들을 살펴보면 임직원 등이 업무상 편의를 위해 사용하는 외부 웹페이지 서버 등 상대적으로 관리와 관심이 소홀했던 영역이 공격 대상으로 활용된 사례가 확인된다"고 했다.

이어 "아무리 견고한 보안체계를 갖추고 있더라도 관리되지 않는 하나의 부분이 전체 보안체계의 취약점이 될 수 있다"며 "인증 등 기본적인 보안조치가 미흡하거나 업무상 필요 이상의 접근이 이뤄지는 등 보안 관리의 사각지대가 없는지 살펴봐야 한다"고 덧붙였다.

이에 따라 외부에 노출된 IT 자산과 서비스, 인증·접근통제 등 보안체계 전반을 점검해 달라고 주문했다. 그는 "소비자 서비스 제공이나 업무 수행에 반드시 필요한 경우가 아니라면 외부 접근은 모두 차단하는 것을 기본 원칙으로 해야 한다"며 "업무상 불가피하게 외부 접근이 필요한 경우에도 접근 권한과 조회 가능한 정보의 범위를 필요 최소한으로 제한해야 한다"고 지적했다.

불필요하게 관리되고 고객 정보는 없는지 재차 확인할 것을 당부했다. 이 이원장은 "개인신용정보 등 고객정보가 업무상 필요한 범위를 넘어 불필요하게 보관되거나 조회되고 있지는 않은지, 인증 절차가 누락되거나 문제가 될 수 있는 접근 경로가 없는지도 철저히 점검해야 한다"고 강조했다.

침해사고 이후 소비자 피해를 최소화하기 위한 대응도 언급했다. 그는 "사고 발생 즉시 피해 범위와 소비자 피해 가능성을 신속하고 정확하게 파악하고, 추가적인 정보 유출이나 금전 피해가 발생하지 않도록 필요한 보호조치를 즉시 시행해야 한다"고 말했다.

이어 "소비자 피해가 확인된 경우에는 관련 내용을 상세하고 신속하게 안내하고 피해 구제와 보상이 차질 없이 이뤄질 수 있도록 해야 한다"며 "유출된 정보가 보이스피싱이나 스미싱 등 2차 피해로 이어질 가능성에도 대비해야 한다"고 덧붙였다.

사이버 공격과 관련해선 금융권 전체가 힘을 모야 대응하자고 촉구했다. 그는 "한 금융회사에서 확인되는 공격 수법이나 취약점이 다른 금융회사에 활용될 가능성이 있는 만큼 개별 금융회사의 침해사고를 해당 회사만의 문제로 보지 말고 금융권 전체가 공동으로 탐지하고 차단할 수 있도록 협력해야 한다"고 말했다.

특히 "(이번 사안은) AI를 활용한 해킹 공격 가능성도 배제할 수 없다"며 "새로운 유형의 공격에 대응하기 위해 앞으로는 'AI로 공격하면 AI로 방어한다'는 보안체계 마련도 서둘러야 한다"고 덧붙였다.

마지막으로 보안에 대한 기본적인 인식을 전환해 줄 것을 바랐다. 그는 "보안은 더 이상 비용이 아니라 투자"라며 "금융회사와 시스템의 안전성을 확보하고 신뢰를 지키기 위한 기본 투자라는 인식 전환이 필요하다"고 강조했다.

이어 "이번 사고를 단순히 개별 사고로 수습하는 데 그치지 않고 우리 금융권의 정보보안 체계를 한 단계 더 높이는 계기로 삼아야 한다"며 "정부도 침해사고 유형과 피해 양상을 면밀히 분석해 필요한 제도 개선 과제를 적극 발굴하고 금융권과 금융당국이 원팀이 돼 대응해 나가겠다"고 덧붙였다.