이억원(가운데) 금융위원장이 5일 ‘AI시대 보안체계 혁신을 위한 전 금융권 간담회’에서 발언하고 있다. 연합뉴스

- 금융위, 코인 포함 보안 전수점검
- “위험방치 땐 경영진 책임 물을 것”
- 해킹 공동 관제 시스템도 고도화

지난 9월 첫 해킹 피해 이후 국내 금융권 전체를 통틀어 총 37개사에서 47만3000건의 정보가 유출된 것으로 확인됐다. 자금 탈취 규모는 약 10억 원 수준이나, 개별 이용자의 자금 손실이 현실화하지는 않은 것으로 나타났다.

금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원과 가상자산·전자금융·온라인투자연계금융업(온투업)을 포함한 전 금융권 협회장, 관계부처와 함께 AI 시대 보안체계 혁신을 위한 전 금융권 간담회를 열고 현황을 점검했다. 지난 9월 30일 첫 침해사고 확인 이후 지난 3일까지 총 37개사에서 40건의 침해신고가 있었다. 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 상호금융 1개사, 여신 2개사, 온투업 4개사, 전자금융업 10개사, 가상자산 3개사 등이다.

유출 정보는 임직원 정보나 고객 성명, 주민등록번호, 계좌번호 등이다. 계좌 비밀번호 등 부정 결제 우려가 있는 정보 유출은 아직 확인되지 않았다. 자금 탈취는 주로 소규모 가상자산거래소와 전자금융, 온투업에서 이뤄졌다. 인터넷에 연결된 상태에서 디지털자산을 보관하는 핫월렛, 소비성 포인트, 온투업 예치금 등 회사가 관리하는 자금이다. 개별 이용자의 실제 자금 손실은 일어나지 않았다.

금융당국은 이번 침해사고를 계기로 보안 취약점 점검과 제도 개선에 착수한다. 전통 금융업뿐만 아니라 전금업, 온투업과 전자금융거래법 적용 대상이 아닌 가상자산업권까지 포함해 약 580여 개사를 전수점검 대상에 포함한다. 또 금융사 최고경영자(CEO), 정보보호최고책임자(CISO), 최고투자책임자(CIO) 역할·책임, 외부접점 관리에서 의사결정 절차 등 내부통제 운영실태도 점검한다. 관리대장 등재된 시스템은 오는 30일까지, 미등재 시스템과 내부통제체계 전수조사는 연말까지 완료할 방침이다.

금융당국은 전수점검 과정에서 발견되는 취약점이나 그간 관리 부실은 즉각적으로 보완하면 유연하게 처리하되, 이후 침해사고 발생은 엄정 조치한다. 이 위원장은 “보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다”며 “중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다”고 밝혔다.

아울러 금융권이 공동 참여하는 해킹 관제 시스템을 고도화하기로 했다. 대형 금융사가 대응할 수 있도록 통합관제시스템(FIRST)을 고도화해 다음 달 시범 운영한 뒤, 내년 1분기 전 금융권이 활용할 수 있도록 한다. 전자금융거래법이 적용되지 않는 가상자산업은 한국인터넷진흥원(KISA)뿐만 아니라 금감원·금보원에도 즉시 신고하도록 신고대응 가이드라인도 이달 중 마련한다. 이 외에 대형 금융사는 취약점 분석·평가 점검 주기를 연 2회로 단축하고, 모든 외부 접점을 평가 대상에 포함하도록 의무화한다.