“고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것이다.”

이억원 금융위원장이 금융권의 잇따른 침해사고를 두고 경고를 내놨다.

금융위원회가 전 금융권, 580여 개 회사의 보안체계를 전면 점검하기로 했다. 금융권에서 한 달 남짓 동안 40건의 침해사고가 신고되고 47만 건이 넘는 정보가 유출된 데 따른 것이다.

금융위는 특히 금융회사에 보안 취약점을 스스로 찾아 개선하도록 하되, 점검 이후 사고가 발생하면 점검이 제대로 이뤄졌는지까지 따져 책임을 묻겠다는 방침을 세웠다. 최고경영자(CEO)를 비롯한 경영진의 보안관리 책임도 점검 대상에 포함된다.

금융위는 5일 이 위원장 주재로 서울 여의도 금융보안원 분원에서 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 이 같은 내용의 혁신방안을 발표했다.

간담회에는 금융감독원과 금융보안원, 주요 금융업권 협회장 및 관계기관이 참석했다.

금융위에 따르면 9월30일부터 11월3일까지 37개 금융회사에서 40건의 침해사고가 신고됐다. 업권별로는 전자금융업자 10개 회사, 금융투자·저축은행 각 5개 회사, 은행·온라인투자연계금융업 각 4개 회사, 보험·가상자산 각 3개 회사 등이다.

유출된 정보는 약 47만3천 건이다. 주로 임직원 정보와 고객 성명·주민등록번호·계좌번호 등이 유출됐다. 계좌 비밀번호 등 부정결제로 이어질 수 있는 정보의 유출은 아직 확인되지 않았다.

일부 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 회사가 관리하는 자금 약 10억 원이 탈취됐다. 다만 개별 이용자의 자금 손실은 아직 현실화되지 않은 것으로 파악됐다.

금융당국은 이에 은행·증권·보험 등 전통적인 금융업권뿐 아니라 전자금융거래법 적용을 받지 않는 가상자산사업자까지 약 580여 개사를 대상으로 보안 전수점검을 실시한다.

점검 범위는 홈페이지 등 대고객 서비스에 그치지 않는다. 외부에서 접근할 수 있는 인증·접근통제 시스템, 응용프로그램 인터페이스(API), 개발·테스트 시스템 등으로 확대한다. CEO와 정보보호최고책임자(CISO) 등의 역할과 책임, IT자산 관리대장 운영 여부도 살펴본다.

금융회사들이 먼저 자체점검을 실시하고, 점검이 부실하거나 중대한 취약점이 발견되면 금감원과 금융보안원이 현장점검에 나선다.

고객 자금 피해나 개인정보 유출로 이어질 수 있는 중요한 취약점이 확인되면 해당 서비스를 즉시 중단하고 외부 접근을 차단해야 한다. 중요한 서비스는 대체 통제수단을 마련하고 CEO의 승인을 받은 경우에만 재개할 수 있다.

금융당국은 IT자산 관리대장에 등재된 시스템의 외부접점 점검을 11월30일까지, 미등재 시스템과 내부통제 전수점검은 12월31일까지 마칠 계획을 세웠다.

점검 과정에서 발견된 취약점과 기존 관리 부실은 즉각적이고 면밀한 보완을 전제로 유연하게 처리한다. 반면 점검 이후 침해사고가 발생하면 자체점검의 적절성까지 따져 엄정하게 책임을 묻는다.

상시 보안관리 체계도 강화한다. 대형 금융회사부터 보안 취약점 분석·평가 횟수를 연 1회에서 2회로 늘리고, 중요한 취약점을 장기간 방치하면 시정명령과 이행강제금을 부과하는 방안을 추진한다.

유출 정보가 추가 범죄에 악용되는 것을 막기 위한 대책도 내놨다.

금융당국은 다크웹과 텔레그램에서 탈취 정보가 유통되는지 상시 감시하고, 금융권 공동 보이스피싱 정보공유·분석 플랫폼(ASAP)에 인공지능(AI) 기반 '피싱지수'를 이달부터 시범 도입한다. 의심거래의 보이스피싱 연루 가능성을 0~100점으로 제시해 금융회사의 지급정지 등 대응을 돕는 방식이다.

보이스피싱 피해금 일부를 금융회사가 무과실책임 원칙에 따라 배상하도록 하는 통신사기피해환급법 개정안의 입법도 지원한다.

중장기적으로는 'AI 공격은 AI로 방어한다'는 원칙에 따라 망분리 규제 전면해제 태스크포스(TF)를 가동한다. 기존 망분리 방식에서 나아가 AI 기반 보안과 제로트러스트 등 대체 보안수단을 마련하고, CEO·이사회·CISO의 책임 범위도 논의한다.

가상자산사업자와 보험대리점(GA) 등에 전자금융거래법 수준의 보안 규율을 적용하는 '디지털금융 안전법'도 2027년 1분기까지 법안을 마련할 계획이다.

이 위원장은 "하루가 다르게 진화하는 보안위협에 맞서 금융의 생명과도 같은 국민의 정보와 재산을 지켜내는 데 그 어떠한 인적·물적 투자도 아껴서는 안 된다"고 당부했다.