[아주사설│기본·원칙·상식] 은행 줄줄이 뚫은 AI 해킹, 금융 보안체계 전면 재점검해야

이억원 금융위원장이 4일 오후 서울 종로구 정부서울청사에서 진행된 '최근 침해위협 대응 전금융권 긴급 점검회의'에서 모두발언 하고 있다. 2026.10.04[사진=유대길 기자 [e-mail]]

시중은행에 이어 저축은행과 캐피털까지 해킹으로 고객정보가 유출되면서 금융권 보안에 비상이 걸렸다. 신한·KB국민·하나·부산은행 등에서 잇따라 침해 사고가 드러났고, 금융당국은 지난 4일 전 금융권 긴급 점검회의를 열었다. 인공지능(AI)을 활용한 자동화 공격 가능성까지 제기된 이번 사태는 금융 보안의 사각지대를 드러냈다. 고객의 돈과 정보를 지키는 일은 금융회사의 기본 책무다. 당국과 금융권은 침투 경로와 관리 부실을 철저히 규명하고 보안체계 전반을 다시 점검해야 한다.

이번 사고에서 주목할 대목은 대고객 금융거래 시스템 외에 대출모집인과 직원 등이 쓰는 업무 시스템이 공격 통로가 됐다는 점이다. 정문을 지키는 데 집중하는 사이 쪽문으로 고객정보가 빠져나간 셈이다. 거래 시스템과 분리돼 있다는 설명으로 책임을 덜 수는 없다. 고객정보에 접근할 수 있는 시스템이라면 용도와 이용자를 불문하고 그에 걸맞은 보호장치를 갖춰야 한다. 외부 접속 경로와 위탁업체의 권한까지 관리해야 금융 보안이 완성된다.

AI 활용 여부와 구체적인 공격 방식은 조사로 밝혀야 한다. 그러나 공격자가 취약점을 빠르게 찾아 반복적으로 파고드는 상황에 대비해야 한다는 사실은 분명하다. 보안 프로그램을 설치하고 정기 점검을 받는 것만으로는 부족하다. 어떤 시스템이 외부에 노출돼 있는지 파악하고, 접속과 정보 조회 권한을 필요한 범위로 제한해야 한다. 비정상적인 반복 조회를 즉시 탐지·차단하고, 발견된 취약점은 지체 없이 보완해야 한다. 보안장치가 실제 공격 앞에서 작동하는지 상시 검증하는 체계가 필요하다.

공격을 받고도 정보 유출을 막은 금융사가 있다는 점도 따져봐야 한다. 공격 대상과 강도가 달랐을 수 있어 회사별 보안 수준을 섣불리 단정해서는 안 된다. 당국은 피해 회사와 방어 회사의 접속 통제, 인증, 탐지 과정을 비교해 성패를 가른 요인을 밝혀야 한다. 방어에 효과가 있었던 조치는 금융권에 신속히 공유하고, 같은 취약점이 다른 회사에도 남아 있는지 확인해야 한다. 사고 건수 집계와 일률적인 점검 지시로 끝낼 일이 아니다.

은행들은 해마다 거액을 정보보호에 투입하고 있다. 하지만 투자액이 크다는 사실이 안전을 보증하지는 않는다. 필요한 곳에 인력과 예산을 배치했는지, 업무 편의를 이유로 통제를 느슨하게 운영하지 않았는지가 중요하다. 경영진은 보안을 전산부서에 맡겨놓고 사고가 나면 보고받는 식의 관행에서 벗어나야 한다. 사업 확장과 디지털 전환에 보안 역량이 따라가는지 직접 챙기고, 점검에서 드러난 문제의 개선 결과까지 책임져야 한다. 당국도 서류상 준수 여부보다 실제 방어 능력을 검증해야 한다.

유출된 정보로 인한 2차 피해 차단도 시급하다. 당국은 현재까지 부정결제에 직접 활용될 정보가 유출된 정황은 확인되지 않았다고 밝혔다. 그렇다고 고객이 안심할 수 있는 것은 아니다. 이름과 연락처에 소득·대출정보까지 결합되면 금융사 직원을 사칭한 맞춤형 사기에 악용될 수 있다. 금융사는 유출 항목과 범위를 정확히 알리고, 피해 확인이나 보상을 가장한 문자·전화에 대한 경고와 신고·구제 절차를 마련해야 한다.

금융은 신뢰를 기반으로 움직인다. 개인정보 유출이 반복되면 개별 회사의 평판을 넘어 디지털 금융 전반의 신뢰가 흔들린다. 대형 금융사의 사각지대를 해소하는 동시에 인력과 자원이 부족한 중소 금융사의 대응 역량도 끌어올려야 한다. 이번 사태를 일회성 비상 점검으로 넘겨서는 안 된다. 모든 접근 경로를 관리하고 침해를 신속히 발견하며 고객 피해까지 막는 체계로 바꿔야 한다.