은행 32곳 중 6곳 보안관리 미흡 보고
이찬진 금융감독원장이 최근 금융권 연쇄 해킹 사태와 관련해 고객정보 유출이 확인되지 않은 우리은행과 NH농협은행의 보안체계를 직접 점검하겠다고 밝혔다. 두 은행이 운영 중인 외부접속 관리 방식의 실제 방어 효과를 확인하고 금융권 전반의 보안 역량 강화에 활용하겠다는 계획이다.
이 원장은 19일 국회 정무위원회 금융감독원 국정감사에서 한민수 더불어민주당 의원이 우리은행과 농협은행의 보안체계에 대한 검증 여부를 묻자 “직접 챙겨보려고 한다. 점검해 보겠다”고 답했다.
한 의원은 신한·KB국민·하나은행에서 직원·대출모집인용 업무시스템을 통한 정보유출 사고가 발생했지만, 우리은행과 농협은행에서는 현재까지 정보유출이 확인되지 않았다는 점을 짚었다.
이 원장은 은행별 차이에 대해 “기본에 충실한 부분”이라며 우리은행은 다중인증체계를 적용했고, 농협은행은 외부에 노출되는 시스템 자체가 없었다고 설명했다.
한 의원이 제시한 자료에 따르면 우리은행은 지정된 영업지원시스템(ODS) 태블릿을 사용하고 인증서 기반의 스마트폰 인증 방식을 운영하고 있다. 농협은행은 대출모집인용 별도 외부 지원시스템을 운영하지 않으며 AI 이상행위 탐지·자동차단과 정기 모의해킹을 실시하고 있다.
한 의원은 이런 은행 측 설명이 실제 방어 효과로 이어졌는지 금감원이 검증할 필요가 있다고 지적했다. 확인된 보안조치 가운데 실효성이 높은 방식은 다른 금융회사도 참고할 수 있도록 표준화해야 한다고 주장했다.
금융권 보안 자체점검 결과도 도마에 올랐다. 한 의원은 금감원이 제출한 자료에 따르면 금융회사 555곳 중 130곳(23.4%)이 보안 관리 미흡 사항을 보고했다고 밝혔다. 업권별로 은행은 점검 대상 32곳 중 6곳에서 미흡 사항이 확인됐다.
한 의원은 미흡 사항이 없다고 보고한 금융회사에 대해서도 실제 취약점이 없는지 검증해야 한다고 강조했다. 이에 이 원장은 외부에 노출된 시스템 전반에 대한 전수조사를 다시 지시했다고 답했다.
금융권의 취약점 신고포상제인 ‘버그바운티’ 활성화 필요성도 제기됐다.
한 의원이 공개한 2024년 운영 실적에 따르면 한국인터넷진흥원(KISA)은 33개사가 참여해 1786건의 취약점 신고를 접수하고 670건을 인정했다. 포상금은 총 2억7669만원이었다.
금융권 버그카운티는 훨씬 적었다. 금감원·금융보안원이 공동 주최한 금융권 버그바운티는 22개사가 참여해 249건을 신고받았으며, 이 중 164건을 인정했다. 포상금은 4420만원으로 KISA의 약 6분의 1 수준이었다.
한 의원은 금융권 버그바운티가 연 1회 운영돼 신고 공백이 발생할 수 있다며 운영 횟수와 포상 규모 확대를 주문했다. 이에 이 원장은 “KISA 기준, 그 이상으로 상향할 수 있도록 준비해 보겠다”고 답했다.
