금융감독원이 AI 기반 사이버 공격 확산에 대응해 금융회사 최고정보보호책임자(CISO)를 소집하고 보안 대응체계 강화를 주문했다. 중요 보안패치 미적용과 퇴직자 계정 방치 등 기본적인 정보기술(IT) 통제 미흡이 대형 사고로 이어질 수 있는 만큼, 자율 점검에 충실히 참여하지 않는 고위험 금융회사는 현장점검 등으로 집중 관리할 방침이다.
금감원은 9일 이종오 디지털·IT 부문 부원장보 주재로 전 금융권 CISO 간담회를 열었다. 간담회에는 은행·보험·여신·저축은행·핀테크 등 업권별 주요 금융회사 CISO 16곳과 각 협회 IT 담당 임원이 참석했다.
금감원은 생성형 AI를 해킹에 악용하면 보안 취약점을 빠르게 찾아내는 데 그치지 않고, 여러 금융회사를 겨냥한 자동화·대량 공격까지 가능해졌다고 진단했다. 미국 국립표준기술연구소(NIST)의 신규 취약점 공개 건수는 올해 상반기 3만5872건으로 전년 동기보다 51.6% 늘었고, 한국인터넷진흥원(KISA) 보안공지 역시 199건으로 46.3% 증가했다.
특히 AI 기반 침투 도구는 자연어 명령만으로 취약 시스템 탐색과 공격 코드 작성, 침투 계획 수립 등을 수행할 수 있다. 악성코드가 상용 생성형 AI 서비스와 연계해 탐지 패턴을 우회하는 새 공격 코드를 실시간으로 만드는 사례도 나타나고 있다는 설명이다.
금감원은 금융회사에 IT 자산을 통합 관리하고, 자산·업무 중요도와 위험 노출도에 따라 보안 패치 우선순위를 마련하라고 요청했다. 취약점·패치 정보를 신속히 확보해 테스트와 적용까지 이어지는 과정을 내재화·자동화하고, 침해사고 발생 시 서비스 복구와 피해 통지·보상 등 소비자 보호 방안도 갖춰야 한다고 강조했다.
금감원은 7월부터 전자금융거래법상 안전성 확보 의무가 적용되는 금융회사를 대상으로 IT 기본통제 자율시정을 진행 중이다. 금융회사가 금감원이 배포한 자가진단 도구를 바탕으로 자체 IT감사 등을 통해 정보처리시스템 보호, 전산자료 보호, 해킹 방지, 공개용 웹서버 관리, 프로그램 변경통제 등 5개 부문을 점검·보완하는 방식이다. 점검은 11월까지 진행된다.
자율시정 과정에서 미흡점을 충실히 보완한 금융회사는 경미한 사고가 나더라도 제재 감면을 적극 검토한다. 반면 형식적으로 점검한 뒤 IT 기본통제 미흡에 따른 대규모 전산·침해사고가 발생하면 엄중 조치할 계획이다.
금감원은 10월 보안 역량을 갖춘 금융회사와 전자금융업자 가운데 15곳을 선정해 망분리 규제 긴급완화 2차 테스트를 진행한다. 테스트를 통해 확인한 AI 보안 위험과 공격 수법, 효과적인 방어 요령은 전 금융권에 공유하고 AI 보안 가이드라인에도 반영할 예정이다.
