[해킹전쟁 ③] AI·디지털 금융 전환 가속, 보안만 역주행

카드사-통신-행정망, 확대되는 해킹…좁아지는 방어선

[프라임경제] 디지털이 금융의 기본 인프라가 된 시대에도 보안은 여전히 '비용'으로 취급된다. 해커의 공격 방식이 빠르게 고도화되면서 금융권은 방어전에 몰리는 형국이다. 완벽한 차단이 불가능하다면, 관건은 사고 이후 대응 체계다.

ⓒ 챗GPT 생성 이미지

정부와 금융권이 동시다발적으로 터지는 해킹 사고와 전산 장애에 사실상 전면적 보안 점검 체제로 전환하고 있다. 최근 롯데카드, 통신 3사에 이어 정부 행정망까지 뚫리며 민간·공공 경계를 가리지 않는 공격이 이어지자, 금융사 내부통제와 국가 차원의 보안 인프라가 모두 임계점에 도달했다는 위기감이 고조된 영향이다. 

특히 은행·보험·증권·카드 등 전 업권에서 랜섬웨어, 악성코드, 데이터 무단 접속 등 사이버 위협이 일상화되고 있지만 국내 금융·보험업권의 보안 투자 비중은 글로벌 평균보다 낮아, '안전 투자 공백'이 구조적 문제로 드러났다는 지적도 커지고 있다.

국회에 제출된 금융감독원 자료에 따르면 2020년부터 올해 9월까지 금융권에서 발생한 해킹 침해사고는 총 31건, 전산장애는 1884건에 달한다. 이 기간 해킹으로 유출된 개인정보는 5만1004건이며, 전산장애로 인한 피해금액은 약 296억원 수준이다. 정보유출 규모만 놓고 보면 저축은행이 3만6974건으로 가장 많았다. 이어 증권, 카드, 생명보험, 은행 순이었다. 금융사가 운영하는 시스템 오류, 설비 장애, 외부 공격, 인적 실수 등 원인은 다양했지만 발생 건수는 매년 증가하는 추세다.

강민국 의원실이 금융감독원으로부터 받은 '국내 금융업권 해킹 및 전산장애 발생 현황'. ⓒ 강민국 의원실

문제는 공격의 강도와 범위가 넓어지는 속도에 비해 국내 금융권의 보안 투자가 글로벌 수준에 미치지 못한다는 점이다. 국내 금융·보험업종의 IT 예산 대비 보안 투자 비율은 9.6%로, 일반 기업 평균(6.4%)보다는 높지만 글로벌 주요 금융기관 평균보다 3%P(포인트) 이상 낮다. 금융권 해킹과 전산장애가 동시에 증가했고, 개인정보 유출 규모는 2022년 65만건에서 올해 4월 기준 3600만건으로 폭증했지만 보안 인력과 예산은 역성장을 이어가는 기관도 적지 않다.

개인정보보호위원회 역시 직권조사권을 갖춘 장관급 기관으로 위상이 격상됐지만, 예산과 인력 부족으로 광범위한 조사를 수행하기엔 역부족이라는 비판이 내부에서조차 제기되고 있다. 개인정보 유출 조사 인력은 2022년부터 현재까지 30명 수준에 머물고 있다. 관련 예산은 90억원 수준에서 내년엔 73억원까지 줄어들 예정이다. 따라서 실태점검이나 기획조사 위주로 진행되는 직권조사는 올해 기준 전체 조사의 20%에 불과하다.

보안 강화 필요성에 공감하면서도 업계의 재정 상황은 딜레마다. 카드업계는 올해 상반기 순이익이 전년 대비 18% 감소한 가운데 보안 투자를 대폭 늘려야 하는 상황이다. 정부가 침해사고 지연 신고나 은폐에 대한 징벌적 과징금 도입을 검토 중인 만큼, 향후 제재 강도는 높아질 가능성이 크다. 이는 카드사가 추진하는 고객 서비스 고도화, 데이터 기반 신사업, AI 전환 전략 등에도 영향을 미칠 수밖에 없다.

지난 20일 이억원 금융위원장은 여신전문금융업권 CEO 간담회를 통해 "고객정보유출 사고는 카드업권의 소비자 보호에 대한 안일한 인식을 보여준 것으로 재발 방지를 위한 뼈를 깎는 노력이 필요하다"며 "금융소비자 보호를 위해 정봉유출사고에 대해서 엄정히 제재하고 관련 제도개선 방안을 이른 시일 안에 마련하겠다"고 밝혔다.

아울러 지난 9월 열린 과학기술정보통신부와 금융위원회 합동 브리핑에서 류제명 과학기술정보통신부 제2차관은 "보안 없이는 디지털 전환도, AI 강국도 사상누각에 불과하다"며 국가안보실 주도로 금융권 전산·보안 체계를 전면 점검하고, 기업의 자율적 보안 투자를 유도하기 위한 인센티브까지 마련하며 해킹 피해 최소화에 총력을 기울이고 있다고 설명했다.

금융업계와 정부 모두가 보안 리스크의 범위와 파급력을 재인식하며 대응체계 전환에 나섰지만, 전문가들은 지금의 대책만으로는 충분치 않다고 입을 모은다. 공격 수법은 더 고도화되고, 금융·공공의 경계 없이 인프라 자체가 공격받는 상황에서 보안은 '사후 복구'가 아닌 '상시 방어' 체제로 운영돼야 한다는 것이다. 특히 개인정보 유출 건수가 이미 수천만 건 단위로 치솟는 가운데, 인력·시스템·예산을 종합적으로 강화하지 않으면 금융 생태계 전반의 신뢰가 흔들릴 수 있다는 경고도 나온다.

계속되는 전산장애와 해킹은 지금의 점검 체계가 한계에 봉착했다는 현실을 드러내고 있다. 금감원과 정부의 규제 강화가 불가피해지는 가운데, 금융권의 책임과 역할도 더욱 무거워졌다. 디지털 전환의 속도가 빨라질수록 보안 투자와 인력 확충은 선택이 아닌 필수로 자리 잡고 있으며, 이번 대전환이 금융·공공 전반의 보안 체질을 바꾸는 계기가 될 수 있을지 업계의 관심이 쏠리고 있다.