이번 금융권 연쇄 해킹으로 고객정보가 유출된 신한·KB국민·하나은행이 올해 반기보고서에서 최고 등급 평가와 국내외 인증, 24시간 보안관제 등 각종 보호 장치를 내세운 것으로 나타났다. 세 은행이 지난해 정보보호에 집행한 돈은 약 1240억원에 달한다. 그러나 실제 공격은 대출모집인과 은행 직원이 사용하는 개별 업무지원 시스템의 인증·접근 통제 허점을 파고들었다. 전사 차원의 보안 체계가 외부에서 접속하는 개별 업무 서비스에도 제대로 적용됐는지가 이번 사고 조사의 핵심으로 떠올랐다.
5일 본지가 세 은행의 2026년 반기 보고서를 확인한 결과, 신한은행은 금융위원회 주관 ‘개인신용정보 관리 및 보호 실태 점검’에서 6년 연속 최고 등급인 S등급(100점)을 받았다고 공시했다. 국내외 정보보호 인증을 갖추고 금융보안원과 정기적으로 해킹 방어 훈련을 했으며, 2025년에는 국내 금융권 최초로 북대서양조약기구(NATO) 사이버방위센터의 ‘록드실즈’ 훈련에도 참가했다고 밝혔다.
인공지능(AI)을 이용해 수상한 금융거래를 찾아내는 시스템도 운영하고 있다고 했다. 그러나 이번에 고객정보가 유출된 곳은 대출모집인이 고객의 대출 진행 상황을 확인하는 간편조회 서비스였다. 금융 거래의 이상 징후를 찾는 장치와 별개로, 이번 사고에서는 고객 정보 조회 과정의 본인 확인과 비정상적인 반복 접근 차단에 허점이 드러났다.
KB국민은행은 행내 모든 PC의 내·외부망을 분리하고, 고객 정보에 접근할 때 추가 인증을 거쳐 인가된 직원만 접속하도록 하고 있다고 밝혔다. 개인정보의 수집부터 파기까지 전 과정을 상시 모니터링하고, 업무를 맡긴 외부 업체도 현장 점검한다고 했다. 이번 사고에서는 직원이 사용하는 모바일 지원 시스템에 공격자가 비정상적으로 접근했다. 은행이 내부 PC와 고객정보 접근에 적용해온 보안 장치가 모바일 업무 시스템까지 촘촘하게 연결되지 못한 셈이다.
하나은행도 매년 금융당국이 권고하는 수준 이상으로 정보보호 예산을 편성해 집행한다고 공시했다. 직원이 업무상 필요한 경우에만 고객 정보를 볼 수 있도록 하고, 정보를 조회할 때는 이용 목적과 사유를 기록한다고 밝혔다. 해킹 시도 등을 감시하는 그룹 통합 보안관제센터도 24시간 운영해왔다. 정보 유출은 이런 상시 관제 체계가 가동되는 가운데 직원이 영업 현장에서 사용하는 지원 시스템에서 발생했다.
세 은행은 거액을 보안 인력과 관제 시스템 운영, 국내외 인증 취득과 대응 훈련 등에 투입해왔다. 금융감독원이 국민의힘 이양수 의원에게 제출한 자료에 따르면 지난해 정보보호 집행액은 하나은행 530억200만원, KB국민은행 392억9700만원, 신한은행 316억7500만원으로, 합계 1239억7400만원에 달한다. 그런데도 대출 모집인·직원 등이 사용하는 개별 업무 시스템에서 정보가 유출되면서, 이 같은 보안 투자가 일선 업무 서비스의 인증과 접근 통제를 강화하는 데까지 이어졌는지 의문이 제기되고 있다.
AI 활용 정황이 포착된 이번 연쇄 해킹에서 금융당국이 들여다보는 것은 공격 수법뿐 아니라, 공격이 실제 고객 정보 유출로 이어진 과정이다. 해커는 AI를 이용해 여러 금융회사의 전산망을 광범위하게 훑고 대량의 값을 반복 입력했다. 이 과정에서 본인 확인 없이 대출 신청 내역을 볼 수 있거나, 직원용 모바일 시스템에 허가된 단말기만 접속하도록 하는 장치가 빠진 곳이 공격을 받았다. 이미 알려진 웹 취약점을 고치지 않아 악성코드가 설치되고 고객 정보가 담긴 로그 파일이 빠져나간 경우도 있었다.
정보보호 인증은 금융회사가 신청한 특정 시스템이나 업무 범위를 대상으로 관리 절차와 보안 체계를 심사한다. 은행이 인증을 받았다고 새로 만든 업무용 웹페이지나 기능을 변경한 모바일 시스템까지 자동으로 점검되는 것은 아니다. 금융회사가 외부에서 접속할 수 있는 전산 자산을 빠짐없이 파악하고, 시스템을 새로 만들거나 고칠 때마다 인증 방식과 조회 권한을 함께 확인해야 하는 것이다.
이에 따라 금융당국은 금융회사들에 외부 접속이 가능한 전산 자산과 업무 시스템을 전수 조사하도록 했다. 인증이나 접근 통제가 빠진 기능은 즉시 수정하거나 차단하고, 직원용 모바일 시스템에는 허가된 기기만 접속할 수 있도록 할 방침이다. 알려진 웹 취약점을 제때 보완했는지와 비정상적인 접속·조회 기록을 탐지하는 체계도 함께 점검한다.
금융회사들이 비슷한 영업 지원 프로그램을 사용하거나 외부 업체에 운영을 맡기는 경우가 많다는 점도 점검 대상이다. 한 금융회사에서 발견된 취약점이 다른 회사의 유사한 시스템을 공격하는 데 이용될 수 있기 때문이다. 금융권에서는 자체 보안 인력과 예산이 부족한 저축은행·상호금융 등을 위해 금융보안원을 통한 공동 점검과 공격 정보 공유, 취약점 개선 지원을 확대해야 한다는 지적이 나온다. 금융당국 관계자는 “이번 사고와 관련해 외부에 노출된 시스템의 본인 확인과 접근 권한 관리, 취약점 보완 등이 적절하게 이뤄졌는지를 전반적으로 살펴보고 있다”고 말했다. 은행과 카드사는 6일, 증권·보험·저축은행·전자금융업자는 8일까지 긴급 점검을 마칠 예정이다.
반기 보고서엔 ‘100점·정보보호 인증·24시간 관제’
5일 본지가 세 은행의 2026년 반기 보고서를 확인한 결과, 신한은행은 금융위원회 주관 ‘개인신용정보 관리 및 보호 실태 점검’에서 6년 연속 최고 등급인 S등급(100점)을 받았다고 공시했다. 국내외 정보보호 인증을 갖추고 금융보안원과 정기적으로 해킹 방어 훈련을 했으며, 2025년에는 국내 금융권 최초로 북대서양조약기구(NATO) 사이버방위센터의 ‘록드실즈’ 훈련에도 참가했다고 밝혔다.
인공지능(AI)을 이용해 수상한 금융거래를 찾아내는 시스템도 운영하고 있다고 했다. 그러나 이번에 고객정보가 유출된 곳은 대출모집인이 고객의 대출 진행 상황을 확인하는 간편조회 서비스였다. 금융 거래의 이상 징후를 찾는 장치와 별개로, 이번 사고에서는 고객 정보 조회 과정의 본인 확인과 비정상적인 반복 접근 차단에 허점이 드러났다.
KB국민은행은 행내 모든 PC의 내·외부망을 분리하고, 고객 정보에 접근할 때 추가 인증을 거쳐 인가된 직원만 접속하도록 하고 있다고 밝혔다. 개인정보의 수집부터 파기까지 전 과정을 상시 모니터링하고, 업무를 맡긴 외부 업체도 현장 점검한다고 했다. 이번 사고에서는 직원이 사용하는 모바일 지원 시스템에 공격자가 비정상적으로 접근했다. 은행이 내부 PC와 고객정보 접근에 적용해온 보안 장치가 모바일 업무 시스템까지 촘촘하게 연결되지 못한 셈이다.
하나은행도 매년 금융당국이 권고하는 수준 이상으로 정보보호 예산을 편성해 집행한다고 공시했다. 직원이 업무상 필요한 경우에만 고객 정보를 볼 수 있도록 하고, 정보를 조회할 때는 이용 목적과 사유를 기록한다고 밝혔다. 해킹 시도 등을 감시하는 그룹 통합 보안관제센터도 24시간 운영해왔다. 정보 유출은 이런 상시 관제 체계가 가동되는 가운데 직원이 영업 현장에서 사용하는 지원 시스템에서 발생했다.
세 은행은 거액을 보안 인력과 관제 시스템 운영, 국내외 인증 취득과 대응 훈련 등에 투입해왔다. 금융감독원이 국민의힘 이양수 의원에게 제출한 자료에 따르면 지난해 정보보호 집행액은 하나은행 530억200만원, KB국민은행 392억9700만원, 신한은행 316억7500만원으로, 합계 1239억7400만원에 달한다. 그런데도 대출 모집인·직원 등이 사용하는 개별 업무 시스템에서 정보가 유출되면서, 이 같은 보안 투자가 일선 업무 서비스의 인증과 접근 통제를 강화하는 데까지 이어졌는지 의문이 제기되고 있다.
AI 공격이 파고든 기본 보안 빈틈
AI 활용 정황이 포착된 이번 연쇄 해킹에서 금융당국이 들여다보는 것은 공격 수법뿐 아니라, 공격이 실제 고객 정보 유출로 이어진 과정이다. 해커는 AI를 이용해 여러 금융회사의 전산망을 광범위하게 훑고 대량의 값을 반복 입력했다. 이 과정에서 본인 확인 없이 대출 신청 내역을 볼 수 있거나, 직원용 모바일 시스템에 허가된 단말기만 접속하도록 하는 장치가 빠진 곳이 공격을 받았다. 이미 알려진 웹 취약점을 고치지 않아 악성코드가 설치되고 고객 정보가 담긴 로그 파일이 빠져나간 경우도 있었다.
정보보호 인증은 금융회사가 신청한 특정 시스템이나 업무 범위를 대상으로 관리 절차와 보안 체계를 심사한다. 은행이 인증을 받았다고 새로 만든 업무용 웹페이지나 기능을 변경한 모바일 시스템까지 자동으로 점검되는 것은 아니다. 금융회사가 외부에서 접속할 수 있는 전산 자산을 빠짐없이 파악하고, 시스템을 새로 만들거나 고칠 때마다 인증 방식과 조회 권한을 함께 확인해야 하는 것이다.
이에 따라 금융당국은 금융회사들에 외부 접속이 가능한 전산 자산과 업무 시스템을 전수 조사하도록 했다. 인증이나 접근 통제가 빠진 기능은 즉시 수정하거나 차단하고, 직원용 모바일 시스템에는 허가된 기기만 접속할 수 있도록 할 방침이다. 알려진 웹 취약점을 제때 보완했는지와 비정상적인 접속·조회 기록을 탐지하는 체계도 함께 점검한다.
금융회사들이 비슷한 영업 지원 프로그램을 사용하거나 외부 업체에 운영을 맡기는 경우가 많다는 점도 점검 대상이다. 한 금융회사에서 발견된 취약점이 다른 회사의 유사한 시스템을 공격하는 데 이용될 수 있기 때문이다. 금융권에서는 자체 보안 인력과 예산이 부족한 저축은행·상호금융 등을 위해 금융보안원을 통한 공동 점검과 공격 정보 공유, 취약점 개선 지원을 확대해야 한다는 지적이 나온다. 금융당국 관계자는 “이번 사고와 관련해 외부에 노출된 시스템의 본인 확인과 접근 권한 관리, 취약점 보완 등이 적절하게 이뤄졌는지를 전반적으로 살펴보고 있다”고 말했다. 은행과 카드사는 6일, 증권·보험·저축은행·전자금융업자는 8일까지 긴급 점검을 마칠 예정이다.
댓글 0
첫 댓글을 남겨보세요.