우리·농협은행 '해킹' 제로…금감원, 선제적 방어 등 패러다임 전환

우리·농협은행, 다중인증·외부망 통제로 고객 정보 유출 '제로'
555개 금융사 자체 점검 한계 노출...이찬진 원장 "전 노출 표면 전수조사 다시 할 것"
선제적 방어 위한 '버그바운티' KISA 수준으로 상향...패러다임 전환 예고

이찬진 금융감독원장이 19일 국회 정무위원회에서 열린 금융감독원 등에 대한 국정감사에서 정무위원 질의에 답하고 있다. 연합뉴스

국회 정무위원회 국정감사에서 이찬진 금융감독원장이 하반기 금융권을 덮친 대규모 해킹 공격 속에서 정보 유출 피해를 막아낸 우리은행과 NH농협은행의 방어 요인으로 '보안 기본기에 기반한 다중인증체계와 외부망 노출 차단'을 지목했다. 금감원은 이를 바탕으로 전체 금융사에 대한 전면적인 재조사와 '버그바운티' 제도 확대를 통해 금융권 전반의 보안 역량을 끌어올리겠다는 계획이다.

19일 열린 국회 정무위 금감원 국정감사에서는 올해 잇따라 발생한 금융권 고객 정보 유출 사태를 둘러싼 원인 규명과 향후 대책이 다뤄졌다.

이번 해킹 공격으로 KB국민·신한·하나·BNK부산은행 등 주요 시중은행에서 고객 정보가 유출되는 결과가 발생했다. 하지만 동일한 공격 시도에도 불구하고 우리은행과 NH농협은행에서는 단 한 건의 유출 피해도 확인되지 않으면서, 각 은행의 보안 인프라 격차가 도마 위에 올랐다.

한민수 더불어민주당 국회의원이 정보 유출 유무를 가른 결정적 요인을 묻자, 이찬진 금감원장은 원칙 준수를 강조했다. 이찬진 원장은 "큰 차이는 기본에 충실한 부분"이라며 "기본통제에서 다중인증체제를 한 데가 우리은행이고, 농협은행은 아예 (공격) 노출 표면 자체가 없었다"고 답변했다.

실제 한민수 의원이 제시한 분석 자료를 보면 정보가 유출된 은행들은 직원이나 대출모집인용 부가시스템 등에서 인증 절차가 누락되거나 접근통제가 미흡했던 것으로 드러났다.

반면, 우리은행은 지정된 영업지원시스템(ODS) 태블릿만을 사용하도록 제한하고, WON인증서 기반의 스마트폰 추가 인증을 적용하는 등 강력한 외부 접근 통제망을 가동했다.

농협은행 역시 취약점이 될 수 있는 대출모집인용 별도 외부 지원시스템 자체를 운영하지 않았으며, 인공지능(AI) 기반의 이상행위 탐지 및 자동 차단체계를 선제적으로 구축해 해커의 진입로를 원천 봉쇄했다.

금융당국은 이 같은 방어 사례를 토대로 금융권 전반의 보안 체계를 대대적으로 손질한다는 방침이다. 앞서 금융당국이 금융회사 555곳을 대상으로 긴급 보안점검을 벌인 결과, 상대적으로 보안 역량이 취약한 전자금융업자와 온라인투자연계금융업자를 중심으로 130곳(23.4%)에서 248건의 미흡 사항이 쏟아져 나왔다.

금융사들의 자체 점검표에 의존하는 현행 방식으로는 숨겨진 취약점을 제대로 걸러내기 어렵다는 국회의 지적에 금감원은 강경한 대응을 예고했다. 한 의원이 "정말 취약점이나 문제가 없는지 금감원이 다시 한번 검증할 필요가 있다"고 지적하자, 이 원장은 "일단 전 노출 표면에 관해서는 전수조사를 다시 하라고 조치했다"며 재점검을 공식화했다.

나아가 사후약방문식 대응을 넘어, 해킹 취약점을 사전에 찾아내는 예방적 제도의 확장도 추진된다. 현재 금감원과 금융보안원이 운영 중인 버그바운티(보안 취약점 신고 포상제) 제도가 한국인터넷진흥원(KISA)에 비해 운영 규모나 포상 면에서 턱없이 부족하다는 지적이 제기됐다.

이에 이 원장은 "KISA 기준으로 상향할 수 있도록 준비해 보겠다"고 밝혀, 화이트해커 등을 활용한 선제적 방어망을 대대적으로 확충할 것임을 알렸다.

한편, 이 원장은 우리은행과 농협은행의 방어망이 실제 해킹을 막아낸 기술적 효과성을 묻는 질의에 "이 부분은 직접 챙겨 보려고 한다"며 "점검해 보겠다"고 했다.