AI해킹에 개인정보 47만건 유출…당국, 580개 금융사 전수점검·망분리 해제 착수

9월 30일 이후 37개사 40건 해킹...정보유출 47만3천건·자금탈취 10억원 발생
연말까지 주변부 시스템·내부통제 전수조사...보안 부실 시 CEO에 법적 책임 추궁
보이스피싱 금융사 무과실책임 입법 및 가산자산·GA 아우르는 '디지털금융 안전법' 추진

이억원 금융위원장이 5일 오전 서울 여의도 금융보안원 여의도 분원에서 금융감독원·금융보안원과 은행·증권·보험 등 전통적 금융업권 및 가상자산·전자금융·온투업까지 포함한 全 금융권 협회장들과 함께 개최한 AI시대 보안체계 혁신을 위한 全금융권 간담회에서 AI 해킹 등 새로운 침해위협에 맞서 우리 금융권이 튼튼한 보안체계를 확립하기 위한 다양한 실천과제와 제도개선 사항 등을 논의했다. 금융위

인공지능(AI)을 악용한 지능형 사이버 공격으로 금융권에서 한 달 만에 47만건이 넘는 개인정보가 유출되자, 금융당국이 가상자산사업자를 포함한 580개 금융사를 대상으로 대대적인 보안 전수점검에 착수한다.

금융위원회는 5일 이억원 금융위원장 주재로 금융감독원, 금융보안원, 범정부 관계부처 및 전 금융권 협회장들이 참석한 가운데 'AI 시대 보안체계 혁신을 위한 금융권 간담회'를 개최했다.

금융위에 따르면 침해사고가 확인된 올해 9월 30일부터 지난 3일까지 은행 4곳, 금융투자 5곳, 보험 3곳, 저축은행 5곳, 전자금융업 10곳, 온라인투자연계금융업 4곳, 가상자산사업자 3곳 등 총 37개사에서 40건의 해킹 사고가 신고됐다.

이로 인해 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등 약 47만3천건의 정보가 유출됐다.

일부 소규모 가상자산거래소와 전자금융업자, 온투업자에서는 가상자산 핫월렛과 소비성 포인트, 예치금 등 회사가 통합 관리하는 계정에서 약 10억원 규모의 자금이 탈취되는 사고까지 벌어졌다.

이억원 위원장은 모두발언에서 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자(CEO)가 직접 책임져야 할 핵심 경영과제"라고 지적했다.

이어 "보안상의 위험을 알고도 방치하거나 형식적인 점검과 안이한 대응으로 사고를 초래해 피해를 키우는 행태는 결코 용납하지 않겠다"며 "중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 경고했다.

금융당국은 첫 번째 과제로 12월까지 전자금융업자와 전자금융거래법 미적용 대상인 가상자산사업자까지 총 망라한 약 580개사를 대상으로 외부접점 및 내부통제 체계를 전수 점검한다.

대고객 서비스뿐만 아니라 직원관리, 내부·제휴업무 등 외부 접근이 가능한 모든 업무영역과 영업·관리 목적 API, 인증·접근통제 시스템을 전수 조사할 예정이다.

금융사는 관리대장에 등재된 시스템의 외부접점 점검을 오는 30일까지 마쳐야 하며, 미등재 시스템과 CEO·최고정보보호책임자(CISO)·최고정보책임자(CIO) 등 내부통제 작동 여부에 대한 조사는 12월 31일까지 완료해야 한다.

점검 과정에서 금전 피해나 개인정보 유출로 직결되는 중대한 취약점이 발견되면 보완 전까지 해당 서비스를 즉각 중단하고 외부 연결을 차단해야 한다.

즉시 보완이 어렵고 중요한 서비스인 경우에 한해 CEO의 승인과 책임 아래 대체통제를 적용하고 이사회 보고를 거쳐 서비스를 재개할 수 있다. 자체점검이 부실하거나 중요 취약점이 드러난 곳은 금감원과 금보원이 직접 현장점검에 나선다.

상시 보안 감시망도 강화한다. 당국은 11월 중 전자금융감독규정 개정을 예고해 총자산 2조원 및 상시 종업원 300명 이상인 대형 금융사부터 단계적으로 외부기관을 통한 취약점 분석·평가 의무 주기를 현행 연 1회에서 연 2회 이상으로 단축한다.

기존에 한국인터넷진흥원(KISA)에만 사고를 신고하던 가상자산사업자와 법인보험대리점(GA) 등 전금법 미적용 업권도 침해사고 인지 즉시 금감원과 금보원에 동시 통보하도록 11월 중 가이드라인을 마련한다.

보안 인력과 예산이 부족한 중소형 금융사에는 12월부터 금보원이 AI 에이전트를 활용해 취약점을 상시 탐색해 주는 '원스톱 AI 방어서비스'를 지원한다.

유출된 정보가 보이스피싱 등 2차 금융범죄로 이어지는 연결고리를 끊기 위해 방어체계도 고도화한다.

금보원을 통해 다크웹과 텔레그램 등 음성적 채널에서의 탈취정보 유통 여부를 상시 모니터링하고, 국내 불법 유통 사이트는 과학기술정보통신부, 방송미디어통신위원회, 경찰청 등과 공조해 차단·폐쇄한다. 특히 보이스피싱 정보공유·분석 AI 플랫폼 '에이셉(ASAP)'을 2단계로 격상한다.

피해자 구제와 금융사의 범죄 예방 유인을 높이기 위한 '보이스피싱 무과실책임' 법제화도 올해 국회 통과를 목표로 속도를 낸다.

현재 국회 정무위원회에 계류 중인 통신사기피해환급법 개정안(강준현·조인철 의원안)을 토대로, 보이스피싱 피해 발생 시 송금계좌와 수취계좌 금융회사가 1대1 비율로 피해금을 분담해 보상하도록 한다.

보상 한도는 대통령령을 통해 1천만원에서 5천만원 범위 내에서 설정하되, 금융사가 고객에게 범죄 위험을 충분히 알린 경우에는 면책을 부여하는 등 세부 요건을 설계할 방침이다.

통신수단을 매개로 범죄가 이뤄지는 특성을 감안해 통신사에 책임을 부여하는 방안도 국무조정실, 과기부 등과 함께 정부 차원의 공론화를 추진한다.

마지막으로 물리적 차단에 의존하던 기존의 보안 규제를 허물고 'AI 공격은 AI로 방어하는' 차세대 망분리 체계로 전환한다. 금융위는 11월 중 정부와 유관기관, 민간 전문가, 금융권이 참여하는 '망분리 규제 전면해제 태스크포스(TF)'를 발족한다.

당국은 TF 논의를 거쳐 국가망보안체계(N2SF) 등 데이터 중요도에 따른 관리체계, 대체통제를 전제로 한 망분리 전면 해제 방안을 2027년 1분기 내 마련할 계획이다.

비조치의견서로 한시 허용했던 보안 목적의 AI 및 서비스형 소프트웨어(SaaS) 활용은 11월 전자금융감독규정 개정을 통해 상시 제도화한다.

특히 가칭 '디지털금융 안전법' 제정안을 2027년 1분기 중 마련해 발의할 예정이다.

법안을 통해 직접 가상자산사업자, 보험GA, 대부업체 등에 현행 전자금융거래법에 준하는 보안 규율을 부과하고, 다수 금융사와 위수탁 관계로 연결된 클라우드 사업자와 대형 플랫폼 등 제3자에 대해서도 침해사고 예방 및 피해 복구를 위한 감독 규율 체계를 확립할 예정이다.

이 위원장은 "최근 금융권에서 잇따라 발생한 침해사고는 우리 금융시스템의 보안체계 전반을 근본적으로 전환해야 한다는 엄중한 경고"라며 "전 금융권 CEO와 관계자들은 국민이 맡긴 정보와 재산을 목숨 걸고 지켜낸다는 각오로 즉시 전사적인 비상대응반을 구성하고, 말이 아니라 행동으로 신뢰를 회복해야 한다"고 당부했다.