금융당국 강조에도 또 해킹사고···증권업계 보안 '빨간불'

대신증권·미래에셋운용 이어 한양증권 사고 확산

서류상 보안 체계와 실제 방어 역량 간 괴리 지적

금융당국, AI 해킹 대응 위한 전방위 점검 추진

그래픽=박혜수 기자

금융투자업계에서 해킹에 따른 고객 정보 유출 사고가 잇따르면서 보안 관리 체계에 비상이 걸렸다. 대신증권과 미래에셋자산운용에 이어 한양증권에서도 정보 유출 정황이 확인되는 등 공격 대상이 금융투자업계 전반으로 확산하는 모습이다. 인공지능(AI) 기술 발전으로 사이버 공격 수법까지 고도화하면서 금융권의 보안 대응 체계를 근본적으로 재점검해야 한다는 목소리가 커지고 있다.

한양증권 고객·임직원 정보 유출···에너지인프라자산운용에는 해킹 시도

3일 금융투자업계 등에 따르면 한양증권은 지난달 29일 외부에 의한 해킹으로 고객과 임직원 정보 일부가 유출된 정황을 확인했다. 유출된 정보는 고객정보 15건, 임직원 관련 정보 2건, 일반 개인정보 14건이다. 구체적으로는 이름, 계좌번호, 연락처, 주소, 생년월일, 이메일, 주민등록번호, 운전면허번호가 유출됐다. 주민등록번호 유출은 3건이다.

한양증권은 외부 그룹웨어 솔루션에 대한 비정상적인 접근을 통해 해킹이 발생한 것으로 파악했다. 사고 인지 즉시 외부 접근을 차단하고 솔루션 공급사와 함께 긴급 보안 패치를 완료했다고 설명했다.

한양증권 관계자는 "관계 기관에 신고 절차를 진행했고 유출 대상 고객께는 개별 안내하고 있다"며 "이번 사안을 엄중하게 인식하고 있으며 고객 여러분께 심려를 끼쳐드려 진심으로 사과드린다. 향후 보안 관리체계를 더욱 철저히 점검하고 재발 방지에 만전을 기할 것"이라고 말했다.

미래에셋자산운용 자회사인 에너지인프라자산운용에도 최근 해킹 시도가 발생했다. 회사는 금융당국에 관련 사실을 보고하고 자체 조사에 나섰다. 현재까지 민감정보 유출 등 구체적인 피해는 확인되지 않았다. 홈페이지는 시스템 안정화 작업을 이유로 일시 중단됐다.

에너지인프라자산운용 관계자는 "당사 홈페이지는 단순 홍보, 공시용 사이트로 고객 개인정보나 금융 데이터 유출 피해는 전혀 없다"며 "침투 발견을 인지한 즉시 관리자 접근 통제 및 계정 보안을 대폭 강화했으며 최종 안전 점검을 마치는 대로 조속히 정상 서비스를 재개할 예정"이라고 설명했다.

금융투자업계에서 잇따라 해킹 공격이나 정보유출 등이 발생하면서 보안체계에 대한 우려의 목소리가 나온다. 대신증권은 내부조사 결과 현재까지 고객 3만8490명의 정보가 유출된 것으로 파악됐다고 지난달 28일 밝혔다. 미래에셋자산운용도 일부 업무용 웹 시스템에서 외부의 비정상적인 접근으로 정보가 새나간 사실을 확인한 직후 관련 경로를 차단하고 금융위원회와 금융감독원에 보고했다고 같은 날 밝혔다.

김명주(AI안전연구소장) 서울여자대학교 지능정보보호학부 교수는 "금융투자업계에서 발생한 연쇄 사고의 공통점은 핵심 거래 시스템이 아니라 그룹웨어, 연계 서버, 업무용 웹 시스템처럼 관리의 관심이 덜했던 외부 접점이 뚫렸다는 것"이라며 "금융회사의 보안 범위가 자사 서버에서 끝나지 않고 협력사 솔루션까지 이어진 상황인데 외부 솔루션과 협력업체 자산을 전수 파악하고 신속히 패치하는 체계가 미흡했던 셈"이라고 평했다.

황석진 동국대학교 국제정보보호대학원 교수는 "대신증권과 미래에셋운용의 경우 금감원이 지난달 실시한 12개 항목의 보안 체크리스트 점검에서 별다른 문제가 발견되지 않은 것으로 알려졌지만 해킹 사고가 발생한 만큼 기존 점검 방식에 문제가 있다고 볼 수 있다"며 "서류상으로 보안 체계를 갖췄다는 사실과 실제 해킹을 방어할 수 있다는 것은 전혀 다른 문제"라고 지적했다.

"보안 조치가 현장에서 제대로 작동하는지 검증해야"

업계에서는 AI 기술 발전으로 사이버 공격의 진입장벽이 낮아지고 공격 수법도 고도화되는 만큼 금융사의 보안 대응 방식 역시 달라져야 한다고 보고 있다. 단순히 보안 솔루션을 도입하는 데 그치지 않고 실제 공격 가능성을 염두에 둔 점검과 임직원 보안 교육 등 다층적인 대응 체계를 갖춰야 한다는 설명이다.

한 금융투자업계 관계자는 "AI 기술 발전에 따라 사이버 공격기법도 빠르게 변화하고 있어 보안체계 역시 지속적으로 고도화할 필요가 있어 보인다"며 "AI 기반 보안기술 활용뿐만 아니라 침투테스트, 취약점 점검 등 실제 공격 관점의 선제적 보안 검증을 강화하고 변화하는 사이버 위협에 대한 대응 역량을 지속적으로 높여가는 것이 중요하다고 보고 있다"고 설명했다.

금융당국도 대비책을 마련하고 있다. 금감원은 지난달 30일 각 업권 협회별로 실무진 회의를 소집하는 등 해킹 대비책을 논의하고 있다. 금융위는 오는 5일 금감원·금융보안원, 관계부처, 전 금융권 협회, 5대 시중은행장 등과 AI 해킹 대응 점검 회의를 열고 조만간 대응책을 발표할 예정이다.

다른 금융투자업계 관계자는 "최근 사고가 발생한 이후 금융당국이 업권 전반을 대상으로 점검을 진행하고 관련 보완책을 공유한 것으로 알고 있다"면서도 "보안에 상당한 인력과 자금을 투입하고 있지만 해킹을 완벽하게 막을 수 있다고 자신하기는 어려운 상황이며 오히려 보안이 완벽하다고 알려지면 해커들의 새로운 공격 대상이 될 수 있어 관련 언급에도 조심스러워 하는 분위기"라고 말했다.

보안 전문가들은 금융당국의 보안 점검 방식도 기존의 서류·체크리스트 중심에서 실제 해킹 대응 역량을 검증하는 방식으로 전환해야 한다고 강조했다.

김 교수는 "해킹 기술이 새롭다기보다는 기본이 허술해서 생기는 사고이기 때문에 기본을 다시 점검하는 지혜가 필요한 때"라며 "협력사 솔루션까지 포함한 공급망 보안 관리, 업권 공동의 위협정보 실시간 공유와 탐지·차단 체계, 이용자에게 신속하고 정확한 사고 공지가 필요하다"고 제언했다.

황 교수도 "금융권 보안 점검이 단순히 체크리스트를 확인하고 서류상으로 적정 여부를 판단하는 방식에 머물러서는 안 된다"며 "실제 해킹 공격에 대응할 수 있는 보안 체계를 갖췄는지 보안 조치가 현장에서 제대로 작동하는지를 완벽하게 검증하는 방식으로 전환해야 한다"고 강조했다.