Update2026.11.10 (화)
최근 한 달여 동안 국내 금융회사 37곳에서 총 40건의 침해사고가 신고되고 약 47만3000건의 정보유출이 파악되면서 금융당국이 전 금융권 보안체계 점검에 나섰다. 은행과 보험사, 증권사뿐 아니라 가상자산사업자까지 약 580개사를 대상으로 보안 실태를 전수점검하고, 중대한 관리 부실이 확인되면 최고경영자(CEO)를 포함한 경영진에게 책임을 묻겠다는 방침이다.
금융당국은 기존 망분리 중심의 보안체계를 인공지능(AI) 기반의 새로운 보안체계로 전환하는 방안도 추진한다. 이달 중 망분리 규제 전면해제 태스크포스(TF)를 가동하고, 내년 1분기에는 보험대리점(GA)과 가상자산사업자 등으로 보안규율 적용 범위를 확대하기 위한 '디지털금융 안전법' 마련에 나설 계획이다.
◆ 금융권 37개사서 침해사고 40건…580개사 보안 전수점검
금융권 전반에서 해킹과 정보유출 사고가 잇따르자 금융당국이 약 580개사를 대상으로 보안 실태 전수점검에 나선다. 점검 과정에서 중대한 취약점이 발견되면 해당 서비스를 즉시 중단하고 외부 접근을 차단하도록 할 방침이다.
이억원 금융위원장(가운데)이 지난 5일 서울 여의도 금융보안원 여의도 분원에서 금융감독원·금융보안원 및 전 금융권 협회장들과 함께 'AI 시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 AI 해킹 등 새로운 보안 위협에 대응하기 위한 실천과제와 제도개선 방안을 논의하고 있다. [사진=금융위원회]
금융위원회는 지난 5일 서울 여의도 금융보안원에서 이억원 금융위원장 주재로 'AI 시대 보안체계 혁신을 위한 전 금융권 간담회'를 개최했다. 금융위에 따르면 지난 9월 30일부터 11월 3일까지 금융회사 37곳에서 총 40건의 침해사고가 신고됐다. 업권별로는 전자금융업 10곳, 금융투자업·저축은행 각 5곳, 은행·온라인투자연계금융업 각 4곳, 보험·가상자산업 각 3곳, 여신전문금융업 2곳, 상호금융업 1곳이다.
이 기간 파악된 정보유출 규모는 약 47만3000건이며, 신고된 자금 탈취액은 약 10억에 달한다. 유출 정보에는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐다. 자금 탈취는 주로 일부 소규모 가상자산거래소와 전자금융업자, 온라인투자연계금융업자가 관리하는 자금에서 발생했다. 다만 금융당국은 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 확인되지 않았으며, 개별 이용자의 자금손실도 아직 현실화되지 않은 것으로 파악했다.
금융위는 이달 말까지 관리대장에 등재된 IT 시스템을 점검하고, 다음 달 말까지 미등재 시스템과 경영진의 내부통제 운영실태에 대한 점검을 마무리할 계획이다. 대형 금융회사의 보안 취약점 분석·평가 주기도 현행 연 1회에서 2회로 확대하고, 중대한 취약점을 방치한 금융회사에는 시정명령과 이행강제금을 부과하는 방안을 추진한다.
이억원 위원장은 이날 간담회에서 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며 전 금융권 CEO들에게 전사적인 비상대응반을 즉시 구성하고 보안체계 강화에 나설 것을 주문했다.
◆ '망분리 규제 전면해제' 논의 본격화…'AI 기반 보안체계' 구축 추진
금융당국은 기존 망분리 중심의 보안규제를 재검토하고 AI를 활용한 새로운 보안체계 구축에 나선다. 내부망과 외부망을 분리해 외부 침입을 차단하는 기존 방식에서 나아가 AI와 제로트러스트 등 대체 보안수단 도입을 추진한다.
금융당국이 망분리 규제를 재검토하고 인공지능(AI) 기반의 새로운 금융보안체계 구축을 추진한다. [이미지=더밸류뉴스 | AI 생성]
금융위는 이달 중 '망분리 규제 전면해제 TF'를 가동할 계획이다. 정부와 금융권, 유관기관, 민간 전문가 등이 참여해 데이터 중요도에 따른 관리·보호체계와 모든 접근을 지속적으로 검증하는 제로트러스트 방식 등을 논의한다. 다만 규제 전면해제는 아직 확정된 것이 아닌 논의 단계다.
금융회사가 보안 목적으로 AI와 서비스형 소프트웨어(SaaS)를 활용할 수 있도록 기존의 한시적 망분리 규제 완화 조치도 상시 제도화한다. 생성형 AI와 업무용 SaaS 외에도 블록체인 등 다양한 IT 서비스에 혁신금융서비스를 통한 규제 예외 적용을 확대할 방침이다.
금융권 공동 해킹 관제시스템인 통합관제시스템(FIRST)도 고도화한다. 대형 금융회사가 탐지한 공격 방식과 악성코드, 취약점 등의 정보를 금융권 전체에 공유하는 체계로, 다음 달 시범운영을 거쳐 내년 1분기 전면 활용을 추진한다. 보안 인력과 예산이 부족한 중소형 금융회사에는 금융보안원의 '원스톱 AI방어서비스'를 다음 달부터 순차적으로 지원한다.
아울러 AI 기반 보이스피싱 '의심거래 판단지수'를 이달부터 시범 도입하고, 다크웹 등에서 유출된 개인정보의 불법 유통 여부도 감시한다. 보이스피싱 피해금의 일정 부분을 금융회사가 과실 여부와 관계없이 배상하도록 하는 무과실책임 제도 역시 입법을 지원할 계획이다.
◆ 보험대리점·가상자산사업자까지 보안규율 확대…내년 1분기 법안 마련
금융당국은 보험대리점(GA)과 가상자산사업자 등으로 보안규율 적용 범위를 확대하는 방안을 추진한다. 기존 전자금융거래법의 보안규율이 적용되지 않는 업종 가운데 대규모 고객정보를 보유하거나 침해사고 시 고객의 자산손실 우려가 큰 업종까지 관리체계를 넓히겠다는 취지다.
금융위는 이를 위해 내년 1분기 중 '디지털금융 안전법' 법안을 마련할 계획이다. GA와 가상자산사업자 등에 현행 전자금융거래법 수준의 보안규율을 적용하는 방안을 검토하고 있다. 금융회사의 최고경영자(CEO) 책임성과 이사회 구성, 현업부서 역할 등 보안 거버넌스와 내부통제 관련 규율도 검토할 계획이다.
금융회사와 연결된 외부 사업자에 대한 관리체계도 검토 대상이다. 다수 금융회사에 서비스를 제공하거나 업무 위탁을 통해 대량의 정보를 처리하는 클라우드·플랫폼 사업자 등이 포함된다. 금융회사 내부 시스템뿐 아니라 외부 사업자와 연결된 업무 영역까지 보안관리 범위를 확대하기 위한 조치다.
침해사고 신고체계도 정비한다. 현재 전자금융거래법이 적용되지 않는 가상자산거래소 등 일부 업종은 정보통신망법에 따라 한국인터넷진흥원(KISA)에 사고를 신고하고 있다. 금융당국은 이들 업종에서 침해사고가 발생할 경우 금융감독원과 금융보안원에도 사고 사실을 즉시 알릴 수 있도록 이달 중 신고·대응 가이드라인을 마련할 계획이다.
금융위는 연말까지 보안 전수점검을 마무리하고 내년 1분기 '보안 내부통제 가이드라인'을 마련해 시행할 방침이다. 디지털금융 안전법은 금융업권과 관계기관의 의견수렴을 거쳐 구체적인 적용 대상과 규율 내용을 정할 예정이다.
추승수 기자
