금융권 580여 곳 보안 전수점검…37개사 침해 40건, 47만 3,000건 유출

금융위원회가 11월 5일 전 금융권 간담회를 열고 은행·증권·보험과 가상자산사업자를 포함한 580여 개사의 보안 전수점검을 예고했다. 9월 30일부터 11월 3일까지 37개사에서 침해사고 40건이 신고됐고, 약 47만 3,000건의 정보가 유출됐다.

5주 동안 37개사 침해…당국, 전 업권 점검 나서

금융위원회는 11월 5일 서울 여의도 금융보안원에서 이억원 위원장 주재로 AI 시대 보안체계 혁신을 위한 전 금융권 간담회를 열었다. 금융감독원과 금융보안원, 주요 업권 협회장이 함께 자리했다. AI를 활용한 해킹 위협이 커지는 상황에서 금융권 보안 대응을 전면 점검하겠다는 취지다.

당국이 공개한 피해 현황을 보면 9월 30일부터 11월 3일까지 37개 금융회사에서 침해사고 40건이 신고됐다. 유출 정보는 약 47만 3,000건으로 임직원 정보와 고객 성명 등이 포함됐다. 일부 가상자산거래소와 전자금융업자 등에서는 회사가 관리하는 자금 약 10억 원이 탈취됐다. 계좌 비밀번호처럼 부정 결제로 이어질 수 있는 정보의 유출이나 개별 이용자의 실제 피해는 발표 시점까지 확인되지 않았다.

이 위원장은 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 경영진이 직접 보안을 챙겨 달라고 주문했다.

자체점검 부실하면 현장점검…중대 취약점은 서비스 중단

전수점검 대상은 은행·증권·보험 등 전통 금융권에 전자금융거래법 적용을 받지 않는 가상자산사업자까지 더한 약 580개사다. 점검 범위는 웹사이트와 API 등 외부접점뿐 아니라 내부 운영, 임직원 관리, 협력사 업무까지 포함된다. 금융회사가 먼저 자체점검을 해 방법과 근거를 기록으로 남기고, 결과가 부실하거나 중대한 취약점이 발견되면 금감원과 금융보안원이 현장점검에 나선다.

중대 취약점이 확인되면 해당 서비스를 멈추고 외부 접근을 차단해야 한다. 재개하려면 대체 통제 수단을 마련하고 최고경영자(CEO) 승인을 받아야 한다. 등록 시스템의 외부접점 점검은 11월 30일까지, 미등재 시스템과 내부통제 점검은 12월 31일까지 마칠 계획이다.

취약점 점검 연 2회로…망분리 규제 해제 TF도

제도 손질도 이어진다. 대형 금융회사의 보안 취약점 분석·평가 주기는 연 1회에서 2회로 늘어난다. 중요 취약점을 방치한 회사에는 시정명령과 이행강제금을 부과하는 방안을 추진한다. 유출 정보의 2차 피해를 막기 위해 다크웹과 텔레그램 상시 감시를 강화하고, 보이스피싱 정보공유 플랫폼(ASAP)에는 AI 기반 피싱지수를 11월부터 시범 도입한다.

보이스피싱 피해금 일부를 금융회사가 배상하도록 하는 입법도 지원한다. 망분리 규제를 단계적으로 전면 해제하는 방안을 논의할 태스크포스(TF)도 가동하며, 2027년 1분기까지 AI 기반 신보안체계 방안과 디지털금융 안전법 법안을 마련한다는 계획이다. 이 법안은 가상자산사업자와 법인보험대리점(GA) 등에도 전자금융거래법 수준의 보안 규율을 적용하는 내용을 담는다. 구체적인 법안 내용과 시행 시기는 입법 과정에서 달라질 수 있으며, 이번 전수점검 결과에 따라 추가 조치가 나올 수 있다.

본 기사는 금융위원회 발표와 공개된 자료를 바탕으로 작성된 정보 제공용 콘텐츠이며, 특정 자산의 매수·매도를 권유하지 않습니다.