국내 금융권을 겨냥한 인공지능(AI) 기반 해킹과 개인정보 유출 사고가 잇따르면서 금융회사들의 보안 관리 부실과 금융당국의 감독 책임이 국정감사 도마 위에 올랐습니다. 사고 발생 전 AI 공격 위험을 경고하는 정보가 공유됐는데도 피해를 막지 못한 데다, 사고 이후 대응 과정에서도 허점이 드러나면서 금융회사 최고경영자(CEO)의 내부통제 책임을 물어야 한다는 지적이 나옵니다.
19일 국회와 금융권에 따르면 국회 정무위원회는 이날 금융감독원 국정감사에서 금융권 해킹 사고의 원인과 대응 체계, 보안 투자 실태 등을 집중적으로 점검했습니다. 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장 등 5대 시중은행장도 증인으로 출석했습니다. 5대 은행장이 국감장에 나란히 선 것은 4년 만입니다.
이번 사태는 지난달 말부터 이달 초까지 주요 금융회사에서 해킹과 개인정보 유출이 연쇄적으로 발생하면서 불거졌습니다. 신한은행에서는 고객 개인정보 2만5727건이 유출됐고, KB국민은행과 하나은행에서도 각각 고객·임직원 정보 유출이 확인됐습니다. 우리은행과 NH농협은행 역시 해킹 시도를 받았지만 현재까지 개인정보 유출은 확인되지 않았습니다. 은행권뿐 아니라 저축은행과 여신전문금융회사 등 제2금융권으로도 피해가 번지면서 금융권 전반의 보안 대응 역량이 시험대에 올랐습니다.
공격 수법도 주목받고 있습니다. 미국 사이버보안업체 크라우드스트라이크는 공격에 사용된 서버에서 중국 광둥성 거주 26세 인물로 추정되는 신원 단서를 포착했습니다. 공격자가 딥시크 등 생성형 AI 모델을 활용해 공격을 수행한 정황도 확인됐습니다. 다만 실제 공격 주체와 배후에 대해서는 추가 수사가 필요한 상황입니다.
특히 금융회사의 사전 대응이 적절했는지가 쟁점으로 떠올랐습니다. 금융보안원은 지난달 17일 금융사 보안 담당자들을 대상으로 한 세미나에서 AI 에이전트를 활용한 금융권 공격 사례와 외부 노출 자산 관리의 중요성을 공유했습니다. 실제 대규모 해킹 사고가 발생하기 약 2주 전이었습니다. 이미 유사한 공격 위험이 제기됐는데도 금융회사들이 취약점을 충분히 점검하고 보완하지 못했다는 비판이 나오는 배경입니다.
국감에서는 금융당국의 감독 실효성도 도마에 올랐습니다. 이찬진 금융감독원장은 이날 해킹 사고와 관련해 철저한 원인 규명과 보안 취약점 보완을 약속했습니다. 보안 취약점 분석·평가를 강화하고 정보기술(IT) 자산 식별·관리 의무화, AI 기반 침투를 포함한 모의해킹 훈련 확대 등을 추진하겠다는 방침입니다. 금융회사의 보안 예산과 인력 투자를 늘리는 방안도 금융위원회와 협의하겠다고 밝혔습니다.
최고경영자의 책임을 강화하겠다는 입장도 나왔습니다. 이 원장은 사이버보안 사고와 관련해 CEO의 내부통제 기준 관리의무 위반 여부를 다루는 첫 사례가 될 수 있다고 밝혔습니다. 금융회사의 보안 사고를 단순한 전산 담당 부서의 문제로 한정하지 않고 경영진의 관리·감독 책임으로 연결하겠다는 취지입니다.
은행장들도 고개를 숙였습니다. 이들은 고객에게 사과하고 보안 예산과 인력을 확충하는 한편, 피해가 확인될 경우 적절한 보상에 나서겠다고 약속했습니다. 다만 사고 발생 전 위험 경고가 있었던 만큼 보안 투자 확대 약속만으로 책임론이 해소되기는 어렵다는 지적도 나옵니다.
금융권에서는 이번 사태를 계기로 보안 감독의 무게중심을 사후 제재에서 사전 예방으로 옮겨야 한다는 목소리가 커지고 있습니다. AI를 활용한 공격은 기존 보안 체계의 취약점을 빠르게 탐색하고 여러 금융회사를 동시에 겨냥할 수 있는 만큼, 일회성 점검을 넘어 외부 노출 시스템에 대한 상시 관리와 실전형 대응 훈련이 필요하다는 분석입니다.
(왼쪽부터) 강태영 NH농협은행장, 이호성 하나은행장, 정진완 우리은행장, 정상혁 신한은행장, 이환주 KB국민은행장이 19일 서울 여의도 국회에서 열린 정무위원회 국정감사(금융감독원 등)에서 의원 질의를 듣고 있다. (사진=연합뉴스)
신수정 기자 newcrystal@etomato.com