|
금융위원회는 14일 금융감독원, 금융보안원 등 관계기관과 '제 2차 긴급 상황대응 회의'를 개최했다.
금융위에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융회사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전 업권에 걸쳐 총 16개사로 파악됐다.
기존에 알려졌던 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에도 DB저축은행과 산은캐피탈, 브라이트픽스, 스트리미, 프라뱅 등 5곳이 추가로 보고됐다.
현재까지 확인된 정보유출 규모는 약 10만 건이다. 유출된 정보는 성명, 연락처, 주민등록번호, 이메일 등으로 파악됐다. 금융위는 계좌 비밀번호나 카드번호 등 직접적 부정결제 우려가 있는 정보 유출은 확인되지 않았다고 설명했다.
금융당국 관계자는 "현재도 금융회사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해발생 여부를 확인에 있어, 사고발생 금융사 수는 이보다 더 확대될 수 있다"고 말했다.
금융당국이 지난 8일까지 전 금융권 555개사에 대해 12개 항목의 체크리스트를 점검한 결과 130개사가 미흡사항이 있음을 보고했다. 상대적으로 보안역량이 약한 전금업·온투업 부문에서 미흡사항이 많이 발견됐다.
주요한 미흡사항은 최신 보안패치 미적용, 제조사 기술지원 종료(EOS) 시스템 관리 미흡, 실시간(24시간) 관제체계 미구축, 공격표면 관리 미흡 등이다. 각 금융사들은 신속한 보안패치·노후장비 처분 및 교체, 보안관제 인력·설비 등 확충, 인증범위 확대·접근통제 강화 등 공격표면 관리 강화 조치 등 신속한 보완조치 실행계획도 함께 보고하고 즉시 조치를 시행하고 있다.
금융당국은 금융사 보안체계·관리시스템 전수점검을 추진한다. AI 해킹위협 등 새로운 보안위협에 대해 금융권이 충분한 대비태세를 갖출 수 있도록 공격표면 관리·인증체계·내부통제 등 보안관리 전반을 전수점검하고 대응계획을 마련한다는 계획이다.
우선 전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화하고,외부접점의 인증·접근통제 권한을 명확히 설정·엄격히 관리하도록 한다. 특히 외부접점 관리 등 보안체계 운영·관리와 최고경영자(CEO)·정보보호최고책임자(CISO)·최고투자책임자(CIO) 등의 보고체계·책임범위 등도 명확히 하도록 지도·감독해 나갈 예정이다.
금융권 해킹위협을 조기에 포착하고 공동 대응하는 체계도 마련한다. 현재 금감원·금보원이 파악한 해킹위협 정보는 통합관제시스템(FIRST) 등을 통해 전 금융권에 신속히 전파되고 있으나, 금융사가 자체 보안관제 과정에서 파악한 정보는 공유되지 않고 있는 상황이다. 이에 금융사가 자체 파악한 위협정보도 통합관제시스템 등을 통해 공유할 수 있도록 시스템을 개선할 계획이다.
아울러 대형 금융회사의 취약점 점검·평가 주기를 연 2회 이상으로 확대하고 중소형 금융사에 대한 보안관리 지원도 강화한다.
신진창 사무처장은 "이번 사고를 계기로 금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것"이라며 "AI 보안위협 확대에 대비해 'AI공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 말했다.
