2024년 이후 전체 금융권 해킹 침해사고 14건 발생
주변망 빈틈 파고드는 인공지능 기반 자동화 공격 확산
이달 국감 쟁점 부상 속 경영진 징벌적 책임 강화 주목
제1금융권과 제2금융권을 가리지 않고 금융권 전반에서 인공지능(AI)을 결합한 신종 사이버 침해사고가 연쇄적으로 발생하면서 정보 보안에 비상이 걸렸다. 주변부 전산망을 파고드는 악성코드 감염이 속출하고 대규모 개인정보 유출로 이어지면서, 기존 물리적 망분리에 의존하던 금융당국의 보안 관리 체계 전반을 개편해야 한다는 목소리가 커지고 있다.
국회 정무위원회 소속 국민의힘 박준태 의원실이 금융감독원으로부터 제출받은 자료에 따르면, iM뱅크는 지난 8월 28일 악성코드 감염으로 인해 이상거래탐지시스템(FDS) 취약점을 노린 공격을 받았다. 앞서 바로저축은행도 지난 4월 12일 내부 시스템이 악성코드에 감염돼 임직원 개인정보가 유출되는 사고를 겪었다. 두 사례 모두 핵심 고객 서비스 중단 등 최악의 상황은 면했으나, 은행권의 주요 보안 인프라와 내부망이 뚫렸다는 점에서 구조적 약점을 노출했다.
이런 침해사고는 특정 금융회사에 국한된 일이 아니다. 2024년 1월부터 지난 8월 31일까지 금융감독원에 정식 접수된 전자금융 침해사고는 총 14건이다. 업권별로 은행 6건, 보험사 4건, 여신전문금융회사 2건, 증권사와 저축은행이 각각 1건을 기록했다. 롯데카드는 2025년 8월 12일 시스템 감염으로 297만 명의 고객 신용정보가 유출됐으며, 서울보증보험은 2025년 7월 14일 랜섬웨어 감염 탓에 핵심 서비스가 64시간 31분 동안 마비돼 소비자들에게 총 1,191만 원의 보상금을 지급해야 했다. 지급결제 대행사인 쿠프마케팅과 토스페이먼츠 역시 시스템 취약점이 뚫려 각각 1,780만 원의 보상금 지급과 2,671건의 고객정보 유출이라는 피해를 봤다.
최근 잇따른 해킹 피해의 배후에는 고도화된 AI 자동화 공격이 자리 잡고 있다. 해커들은 거대언어모델과 자율 에이전트 구조를 결합해 금융회사의 외부 공개 웹서버와 내부 업무망 사이의 미세한 틈새를 24시간 자율적으로 탐색하고 있다.
과거 해킹 조직이 고객용 인터넷뱅킹 등 전면 거래망을 직접 노렸다면, 최근에는 감시망이 상대적으로 느슨한 보조 시스템을 징검다리로 삼는 기법을 활용한다. 본점의 촘촘한 보안 통제를 우회하기 위해 외주 인력망, 대출모집인 전용 포털, 영업지원시스템(ODS) 등을 집중적으로 파고든 뒤 내부 전산망으로 침투하는 방식이다.
실제 이런 신종 기법 탓에 고객정보 유출 피해는 눈덩이처럼 불어나고 있다. 신한은행에서는 대출모집인 전산망을 거쳐 2만 5,000여 명의 개인정보가 탈취됐다. 예가람저축은행에서는 약 4만 명, 현대캐피탈에서는 대출모집인 146명의 금융정보가 외부로 빠져나갔다. KB국민은행과 하나은행에서도 내부 시스템을 통해 각각 119명, 89명의 상세 정보가 새어 나가는 등 대형 시중은행들조차 방어망 구축에 애를 먹고 있다.
상대적으로 예산과 인력이 부족한 제2금융권은 신종 금융 보안 사고의 가장 큰 뇌관으로 꼽힌다. 중소 카드사나 저축은행 등은 AI 기반 지능형 침투 공격을 실시간으로 감지하고 방어할 역량이 대형 시중은행보다 떨어진다.
제2금융권에 쌓인 고객의 대출 기록이나 신용평점, 계좌 비밀번호 등 핵심 신용정보가 대량으로 넘어가면 그 피해는 단순한 정보 누출로 끝나지 않는다. 탈취된 데이터를 바탕으로 명의도용 대출, 타깃형 보이스피싱, 불법 자금세탁 등 막대한 2차 금융사고가 연쇄적으로 발생할 수밖에 없는 구조다. 독립적으로 취약점 탐색을 쉴 새 없이 돌리는 AI 에이전트 특성상, 정보보안 인프라 투자를 미뤄온 영세 금융회사일수록 가장 먼저 집중 포화를 맞을 위험이 크다.
사태가 걷잡을 수 없이 커지자 금융위원회와 금융감독원은 4일 오후 이억원 금융위원장 주재로 전 금융권 최고경영자(CEO)를 소집해 긴급 보안 점검회의를 개최했다. 이 자리에서 당국은 모든 대외 웹서버와 내부 업무지원 시스템 전수 조사를 지시하는 한편, 물리적 망분리에만 의존하던 기존 규제 패러다임의 전환을 시사했다.
정치권도 사후 약방문식 수습을 질타하고 나섰다. 박준태 의원은 “사고가 터질 때마다 반복해 온 구두 경고에서 벗어나 선제적인 인공지능 방어망을 구축하고 제도적 보완책을 마련해야 한다”고 지적했다.
향후 금융권 보안 체계 개편의 핵심 관전 포인트는 두 가지다. 첫째는 금융회사들이 편법으로 연결해 둔 위성 사이트를 정비하고 선제적 탐지 도구를 의무 도입할지 여부다. 둘째는 정보보호 사고 발생 시 경영진에게 무거운 징벌적 책임을 묻는 수준의 강도 높은 제재가 실제 법제화로 이어질 수 있는지다. 당장 이달 열리는 국회 국정감사에서 금융당국의 부실 감독 문제와 보안 체계 전면 개편안이 최대 쟁점으로 다뤄질 전망이다.
※ 이 기사는 랑펀미디어 AI 시스템을 통해 수집된 정보를 바탕으로 작성되었습니다.
