당국의 침해 예방 대책이 나온 지 사흘이 채 되지않아 국내 최대 증권사인 미래에셋증권에서 개인정보 유출(해킹) 사고가 확인되면서 금융권 우려가 커지고 있다. 정부가 긴급 전수 조사를 진행하고 AI(인공지능) 시대에 걸맞은 새로운 보안 체계를 구축하겠다며 대응에 나섰지만 보안 업계는 실질적인 조치 이행이 이뤄지도록 유인책을 마련해야 한다고 조언했다.
8일 IT(정보기술) 업계에 따르면 지난 4~5일 미래에셋증권의 일부 내부 시스템이 외부 해킹에 노출돼 고객 3800여명의 계좌번호와 전·현직 임직원 개인정보 3만5000여건이 유출됐다. 이번 사고로 △미래에셋생명 △미래에셋자산운용 △에너지인프라자산운용 등을 미래에셋그룹 계열사 총 4곳이 사이버 공격을 받았다.
특히 이번 사고는 잇따른 금융권 개인정보 유출 사고에 당국이 대책을 내놓는 상황에서 보란듯이 발생했다. 금융당국은 지난 5일 'AI 시대 보안 체계 혁신을 위한 전(全) 금융권 간담회'를 개최한 뒤 늘어나는 금융권 사이버 공격에 대한 대책을 발표했다. 당국이 밝힌 금융권 정보 유출 규모는 약 47만3000여건이고 자금 탈취 규모는 약 10억원 수준이다.
금융 당국은 단기적 전수조사를 통해 각 금융사의 보안 취약점을 점검하고 금융권 공동 해킹 관제시스템 고도화를 중심으로 금융권 해킹에 대응하겠다고 밝혔다. 금융회사가 자체적으로 시스템을 점검한 뒤 결과를 당국에 제출하도록 하고 정기 점검을 기존 연 1회에서 2회로 늘렸다. 침해위협 정보공유 체계를 강화하고 중소형 금융회사에 대한 AI 기반 보안 지원 확대, 장기적 AI 신(新) 보안체계 구축 등 대책도 담겼다.
보안 업계 전문가들은 이번 대책의 방향성에 대해선 수긍하면서도 이행을 좀 더 서둘러야 한다는 조언을 내놨다. 미래에셋증권의 개인정보 유출 사고가 당국의 대책 발표 당일 이뤄진 것처럼, 점검이 이뤄지고 있는 중에도 사이버 공격은 끊이지 않는다는 얘기다. 공격 대상인 기업과 기관들이 점검과 대비책 마련을 더 빠르게 이행할 수 있도록 유인책이 필요하다는 취지다.
염흥열 순천향대 정보보호학과 교수는 "지금 일어나고 있는 사이버 공격은 대부분 보안 일선에 대한 공격인 만큼 취약 접점을 찾을 수 있는 시스템 전반에 대한 금융사 자체 점검을 서둘러야 한다"며 "대책을 발표하는 데 그치지 말고 제1금융권, 제2금융권 등 금융권 전반에 신속하게 전파하고 이행을 확인해야 한다"고 말했다.
염 교수는 "금융보안원이 ASM(공격표면관리)이라는 서비스를 해주고 있는데 회원제로 하다 보니 회원만 받을 수 있다"며 "중소규모 금융사의 경우 보안 점검 자체가 부담될 수 있어 신속하게 이행되지 않을 수 있다"고 지적했다. 그는 "당국이나 관련 기관이 나서서 관련 예산을 지원하든지 아니면 점검 과정의 어려운 점을 해소해 주든지 인센티브를 제공하든지 대책 이행을 서두를 수 있게 해야 한다"며 "이행 점검 업무만 수행하는 TF(태스크포스)를 만드는 것도 하나의 방법"이라고 강조했다.
보안 업계 관계자는 "점검해서 취약한 접점을 찾아내는 것이 중요한데 이를 기업이 자체적으로 수행하도록 하는 것은 부족해 보인다"며 "외부에서 독립적으로 점검하는 부서를 만드는 등 실효성 있는 점검이 되도록 해야 한다. 모의 침투 훈련이나 불시 점검 등 기업이 좀 더 객관적이고 신중하게 점검할 수 있도록 시스템을 마련해야 한다"고 말했다.