금융당국이 최근 연속 발생한 인공지능(AI) 해킹 사고가 확인된 금융회사가 현재까지 16곳으로 파악된다고 밝혔다.
금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청 등 관계기관이 참석한 가운데 ‘제2차 긴급 상황대응회의’를 개최하고 금융권에서 잇따른 해킹 공격으로 금융회사 16곳에서 침해사고가 발생한 것으로 파악됐으며 현재까지 확인된 개인정보 유출 규모가 약 10만 건에 이른다고 전했다.
금융회사 555곳을 대상으로 이뤄진 긴급 보안점검에서는 130곳이 보안패치 미적용 등 일부 미흡사항을 보고했다. 금융당국은 금융회사의 보안체계 전반에 대한 전수점검에 나서기로 했다.
금융당국에 따르면 최근 신한은행 침해사고 전후로 해킹 사고가 확인된 금융회사는 은행과 저축은행, 상호금융, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 전 업권에 걸쳐 총 16곳이다.
은행권에서는 신한·KB국민·BNK부산·하나은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳에서 사고가 확인됐다.
여신전문금융업권에서는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업권에서는 PFCT와 모우다, 전자금융업권에서는 브라이트픽스가 포함됐다. 가상자산사업자인 스트리미와 프라뱅, 상호금융업권의 새마을금고중앙회에서도 사고가 발생했다.
이 가운데 산은캐피탈은 홈페이지에 게시한 고객 안내문을 통해 지난 12일 외부의 비정상적인 접근 경로를 통한 일부 시스템 접속으로 고객 848명의 개인정보가 유출된 사실을 확인했다고 밝혔다. 유출된 정보는 성명과 주민등록번호, 생년월일 등 3개 항목이다.
산은캐피탈은 유출 사실을 인지한 즉시 해당 인터넷프로토콜(IP) 등 불법 접속 경로를 차단하고 비정상 접근 모니터링을 강화했다고 설명했다. 유출이 확인된 고객 가운데 개별 연락이 가능한 고객들에게 관련 사실을 통지하고, 명의도용과 보이스피싱 등 2차 피해에 주의할 것을 당부했다.
DB저축은행도 홈페이지를 통해 해킹 시도가 발생한 사실을 알렸다. 다만 보안시스템에 의해 해킹 시도가 차단됐으며 일반 고객정보 유출은 없었다고 밝혔다.
금융당국은 현재까지 확인된 금융권 개인정보 유출 규모가 약 10만건에 달하는 것으로 파악했다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐으나 계좌 비밀번호와 카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다.
금융회사들이 공유된 공격자 IP 등을 토대로 추가 침해 여부를 확인하고 있어 사고 발생 회사가 더 늘어날 가능성도 있다.
현재 금감원과 금융보안원은 현장조사 등을 통해 침해 경로와 공격방식을 파악하고 있다. 개별 사고 간 연관성과 동일한 공격 주체의 소행인지 여부, AI를 활용한 해킹 가능성 등도 정밀 조사 중이다.
금윤호 더나은미래 기자
