전산비 늘려도 뚫린 보안…증권가, 잇단 해킹 사태에 '진땀'

국내 증권사 37곳 상반기 전산운용비 5702억원…전년比 22%↑
보안 투자 늘린 6개사, 전담인력은 감소…투자 실효성 도마
대신·한양·미래에셋운용 잇단 침해…금감원, 경영진 책임 강화

연합뉴스

국내 증권사와 자산운용사를 겨냥한 해킹 공격이 잇따르면서 금융투자업계의 정보보호 체계가 시험대에 올랐다. 증권사들이 전산운용비와 정보보호 투자액을 확대하고 있지만, 외부 연계 시스템을 중심으로 보안 사고가 반복되면서다. 특히 정보보호 투자액 증가에도 전담 인력은 오히려 감소한 것으로 나타나 단순한 예산 확대를 넘어 실질적인 보안 대응 역량을 강화해야 한다는 지적이 나온다.

4일 금융투자업계에 따르면 최근 대신증권과 한양증권, 미래에셋자산운용 등 금융투자회사 3곳에서 외부 해킹에 따른 정보 유출 사고가 발생했다. 이들 회사는 사고 직후 외부 접근 차단과 취약점 점검에 나섰지만, 금융당국이 경영진 책임을 포함한 강력한 제재 방침을 예고하면서 업계 전반에 긴장감이 높아지고 있다.

가장 큰 피해가 발생한 곳은 대신증권이다. 대신증권은 지난달 17일 투자일임 비대면 증권 계좌 개설 연계 서버에서 비정상적인 접근을 탐지했다. 이후 금융보안원과 함께 약 6만건의 접속 신호를 전수조사한 결과 고객 3만8490명의 개인정보가 유출된 사실을 확인했다. 유출 항목에는 고객명과 이메일, 주소, 은행명, 암호화된 계좌번호 등 8개 항목이 포함됐다.

한양증권에서도 지난달 29일 외부 그룹웨어 솔루션을 통한 비정상적인 접근이 확인됐다. 고객정보 15건을 비롯해 임직원 관련 정보 2건, 일반 개인정보 14건 등 총 31건이 유출됐다. 미래에셋자산운용 역시 일부 업무용 웹 시스템에 외부 IP가 비정상적으로 접근하면서 내부 자료가 유출되는 사고를 겪었다.

세 회사의 사고는 핵심 매매시스템이 아닌 외부 연계 서버와 그룹웨어, 업무용 웹 시스템 등에서 발생했다는 공통점이 있다. 금융투자회사의 디지털 업무 환경이 복잡해지는 가운데, 외부와 연결된 시스템의 접근통제와 취약점 관리가 보안체계의 사각지대로 부상하고 있다는 분석이 나온다.

실제 증권사들은 전산 관련 지출을 꾸준히 늘려왔다. 금융투자협회 공시 자료를 분석한 결과 국내 증권사 37곳의 올해 상반기 전산운용비는 총 5702억원으로 전년 동기(4672억원) 대비 22.05% 증가했다. 조사 대상 가운데 33곳이 관련 비용을 확대했다.

증권사별로는 키움증권이 814억9000만원으로 가장 많았고 ▲삼성증권(669억3000만원) ▲미래에셋증권(564억5000만원) ▲KB증권(380억9000만원) ▲신한투자증권(327억3000만원) 등이 뒤를 이었다.

해킹 피해를 겪은 증권사 역시 전산운용비를 늘렸다. 대신증권의 올해 상반기 전산운용비는 169억9379만원으로 전년 동기 대비 2.87% 증가했다. 한양증권은 같은 기간 11.85% 늘어난 41억3960만원을 기록했다. 미래에셋자산운용도 24.52% 증가한 96억4679만원을 지출했다.

정보보호 투자 현황에서도 주목할 만한 변화가 나타났다. 한국인터넷진흥원(KISA)에 따르면 올해와 지난해 모두 정보보호 현황을 공시한 6개사의 2025년 정보보호 투자액은 총 658억8000만원으로 전년(580억7000만원) 대비 13.45% 증가했다.

NH투자증권의 정보보호 투자액은 99억8800만원에서 124억100만원으로 24.2% 증가했다. 신한투자증권도 138억1700만원에서 171억100만원으로 23.8% 늘었으며 한국투자증권은 166억8300만원에서 187억6000만원으로 12.5% 확대했다.

반면 정보보호 전담 인력은 같은 기간 169.2명에서 168명으로 1.2명(0.7%) 감소했다. 한국투자증권은 41.7명에서 37.5명으로, NH투자증권은 32.8명에서 31.7명으로 각각 줄었다. 정보보호 투자액 증가가 반드시 전담 인력 확충으로 이어지지는 않았다는 의미다.

특히 대신증권은 전산운용비 증가와 별개로 실제 정보보호 투자액은 감소한 것으로 나타났다. 지난해 정보보호 투자액은 55억8605만원으로 전년(56억4148만원)보다 약 5500만원(1.0%) 줄었다. 정보보호 전담인력은 14.3명에서 14.8명으로 소폭 증가했지만, 같은 기간 전체 IT 투자액은 686억5600만원에서 671억2000만원으로 감소했다.

대신증권은 지난해 정보보호 공시에서 웹보안게이트웨이 재구축과 다크웹 모니터링 구축, 단말위협정보모듈 고도화 등을 주요 투자 항목으로 제시했다. 그러나 올해 외부 연계 서버에서 대규모 개인정보 유출 사고가 발생하면서 투자 규모뿐 아니라 보안체계의 운영과 관리 실효성을 점검해야 한다는 과제가 남았다.

정보보호 투자 비중도 회사별 편차가 나타났다. 올해 공시한 증권사 10곳의 2025년 실적을 비교하면 전체 IT 투자액 대비 정보보호 투자 비중은 신한투자증권이 11.2%로 가장 높았고 한국투자증권(10.6%), 유안타증권(10.2%) 등이 뒤를 이었다. 반면 KB증권은 7.7%, NH투자증권은 8.2%, 대신증권은 8.3% 수준이었다.

물론 정보보호 투자 규모와 비중만으로 개별 회사의 보안 수준을 단정하기는 어렵다. 회사마다 사업 규모와 시스템 구조, 외주 활용 방식이 다른 데다 보안 사고는 특정 시스템의 취약점이나 접근권한 관리 부실 등 다양한 원인으로 발생할 수 있기 때문이다.

문제는 공격 방식이 갈수록 고도화되고 있다는 점이다. 생성형 인공지능(AI)을 활용한 취약점 탐색과 자동화 공격이 확산하면서 기존의 정기 점검과 사후 대응 중심 보안 체계만으로는 한계가 있다는 우려가 커지고 있다.

권명준 유안타증권 연구원은 잇따른 해킹 사고를 계기로 이상징후 탐지와 다중 인증, 모의해킹 등 선제적인 보안 대응의 중요성이 재확인됐다고 분석했다. 특히 외부와 연결된 업무시스템까지 보안 관리 범위를 확대해야 한다는 지적이 나온다.

금융당국도 강경 대응에 나섰다. 이찬진 금융감독원장은 지난 3일 임원회의에서 대형 금융회사의 해킹 사고와 관련해 최고경영자(CEO)를 비롯한 경영진의 책임을 엄중히 묻겠다는 방침을 밝혔다. 기본적인 보안 통제 부실이나 취약점 방치로 사고가 발생할 경우 매출액의 최대 3%에 해당하는 과징금을 부과할 수 있도록 법 개정도 추진한다는 계획이다.

피해 회사들은 재발 방지 대책 마련에 착수했다. 대신증권은 외부 연계 서버의 접근통제와 이상징후 탐지·차단 체계를 강화하고 정보 유출로 손해가 발생한 고객에게는 관련 법령에 따라 배상을 진행할 방침이다. 미래에셋자산운용은 외부 보안 전문 기관과 사고 원인을 분석하고 있으며, 한양증권도 보안 관리 체계 전반을 재점검하겠다고 밝혔다.

결국 금융투자업계가 해결해야 할 과제는 단순한 전산 예산 증액을 넘어 실질적인 보안 역량을 확보하는 데 있다는 평가다. 외부 연계 시스템에 대한 상시 점검과 전문 인력 확충, 침해사고를 가정한 대응훈련 등 투자 효과를 높일 수 있는 구조적 개선이 필요하다는 것이다.

이효섭 자본시장연구원 연구위원은 "해외 IB들을 보면 최근 채용 인력의 30~50%가 IT 인력이고 이 가운데 상당수가 정보보안 분야"라며 "생성형 AI의 발전으로 해킹 피해 우려가 커지고 있지만 국내 금융투자업계의 정보보호 인력이나 예산은 해외와 비교하면 턱없이 부족하다"고 말했다.