금융사 자체 점검에 의존한 조사 한계…전문가 “AI 기반 상시 방어체계 전환 시급”
금융권을 겨냥한 해킹 공격이 고도화하고 있지만 금융당국의 대응은 여전히 점검과 사후 보완에 머물러 있다. 침해사고가 은행권을 넘어 보험·증권·가상자산업계까지 전방위적으로 발생하면서 기존 점검 방식으로는 새로운 취약점을 충분히 포착하기 어려운 만큼 당국의 보안 대응체계 자체를 바꿔야 한다는 지적이 나온다.
29일 금융권에 따르면 금융위원회가 이달 14일 금융권 보안 강화 대책을 발표한 지 보름이 지났지만 핵심 후속조치인 추가 전수점검은 여전히 준비 단계에 머물러 있다. 금융위는 기존 긴급점검에서 드러난 취약요인의 재발을 막기 위해 외부접점 관리와 인증체계, 내부통제 등 보안관리 전반을 다시 살펴보겠다고 밝혔으나, 구체적인 점검 기준조차 확정하지 못했다.
금융위 관계자는 "전수점검을 촘촘하게 진행하기 위해 현재 금융권 및 금융감독원과 협의하며 구체적인 점검 기준을 마련하고 있다"며 "조만간 기준을 확정해 발표하고 점검에 착수할 계획"이라고 설명했다.
금융회사 555곳을 대상으로 한 긴급 보안점검에서는 130개사에서 미흡사항 248건이 드러났다. 해당 조사는 금융회사가 당국에서 제공한 항목에 따라 자체적으로 보안관리 현황을 확인하고 결과를 제출하는 방식이다. 당국은 미흡사항이 발견된 금융회사들에게 보완을 지시했지만, 시정 내역이나 조치 결과 등 세부 정보는 공개하지 않고 있어 취약점이 실제 얼마나 해소됐는지는 확인하기 어렵다.
문제는 대응체계를 정비하는 동안에도 새로운 공격과 취약점 탐지가 이어질 수 있다는 점이다. 금융감독원과 금융보안원이 확보한 정보는 금융권 통합보안관제시스템(FIRST) 등을 통해 전파되고 있지만, 개별 금융회사가 탐지한 위협정보는 공동 활용되지 않는 구조다. 이런 정보 공유의 공백은 동일하거나 유사한 공격이 다른 금융회사로 확산할 때 신속한 대응을 어렵게 만든다. 당국은 이를 개선해 금융회사 간 위협정보 공유체계를 강화하겠다고 밝혔지만, 관련 시스템을 정비하는 사이 해킹 수법은 더욱 빠르게 진화하면서 대응 속도가 실제 위협을 따라가지 못할 수 있다는 우려가 나온다.
전문가들은 금융당국이 점검 범위와 횟수를 확대하는 방식만으로는 고도화하는 AI 해킹 위협에 대응하는 데 근본적인 한계가 있다고 지적한다. 기존 점검에서 안전하다고 판단한 시스템에서도 AI 분석을 통해 새로운 취약점이 발견될 수 있어 정해진 항목에 따른 검사만으로는 보안 수준을 충분히 담보하기 어렵다는 것이다.
임종인 고려대학교 정보보호대학원 교수는 "금융당국이 모든 금융회사의 보안 취약점을 직접 검사하기에는 인력과 기술적 한계가 있다"면서 "전수점검을 반복하는 방식으로는 고도화하는 해킹 위협에 대응하기 어렵다"고 말했다.
이어 "한국형 오픈 AI 보안 플랫폼을 구축해 중소형 금융회사에도 합리적인 가격으로 보급하는 방향으로 보안특화 AI 모델을 최대한 빨리 국산화해야 한다"며 "점검 확대보다 실질적인 방어체계를 확산하는 것이 시급하다"고 강조했다.
