은행 앱에 로그인하려면 넘어야 할 문턱이 한두 개가 아니다. 비밀번호를 입력하고 지문이나 얼굴로 본인인증을 거쳐야 한다. 조금만 의심스러운 거래가 감지돼도 추가 인증을 요구한다. 내 돈과 개인정보를 지키기 위한 절차라 생각하면 감수할 만하다. 그런데 정작 고객에게 철저한 보안을 요구하는 금융회사들은 그만큼 안전할까. 금융권은 인공지능(AI)을 앞세워 더 빠르고 편리한 금융서비스를 약속하지만, 최근 잇따른 해킹 사고는 그 이면의 허술한 보안체계를 드러냈다.
최근 KB국민은행과 신한은행, 하나은행 등 주요 시중은행부터 저축은행까지 금융권을 겨냥한 해킹 공격이 잇따르면서 고객 개인정보가 유출됐다. 이름과 생년월일, 주소는 물론 계좌번호와 예금 잔액 등 민감한 금융정보까지 외부로 빠져나갔다.
사태는 중대범죄 수사로까지 확대됐다. 경찰은 지난 20일 금융권 해킹 사건에 전자금융거래법 위반 혐의를 추가하고 중대범죄수사청(중수청)에 사건을 통보하기로 했다. 현재까지 금융회사 16곳에서 침해사고가 확인됐으며, 개인정보 유출 규모는 약 10만건에 달한다. 금융당국의 긴급 점검에서는 금융회사 555곳 중 130곳에서 보안패치 미적용 등 관리상 허점이 드러났다.
사고 대응 과정도 석연치 않다. 일부 금융회사는 해킹 공격을 인지하는 데 최대 67시간이 걸렸다. 지난 19일 국회 국정감사에서는 KB국민은행의 초기 대응이 미흡했다는 지적과 함께 사고 대응 과정에서 로그 삭제 지시가 있었다는 의혹까지 제기됐다. 이환주 KB국민은행장은 신속하게 차단하고 대응하지 못한 점에 아쉬움이 남는다고 인정했다. 의혹의 사실관계는 따져봐야겠지만, 금융회사의 보안 관리체계에 대한 신뢰가 흔들리는 것은 피하기 어렵다.
해킹 수법이 갈수록 교묘해지고 있다는 점은 사실이다. 이번 공격에도 AI가 활용된 것으로 추정된다. 그렇다고 공격 기술이 정교해졌다는 설명만으로 모든 책임을 피할 수는 없다. 해킹을 완벽하게 막기 어렵더라도 기본적인 보안 점검과 신속한 사고 대응은 금융회사가 지켜야 할 최소한의 의무다.
국감에 출석한 5대 시중 은행장들은 일제히 고개를 숙였다. 개인정보 유출로 피해가 발생하면 보상하고, 보안 인력과 예산을 늘리겠다고 약속했다. 이찬진 금융감독원장도 금융회사 최고경영자(CEO)의 내부 통제 책임을 묻겠다고 밝혔다. AI 기반 모의해킹훈련 확대와 보안 투자 강화 방안도 내놨다.
하지만 금융권의 사과와 재발 방지 약속은 낯설지 않다. 사고가 터질 때마다 내부통제를 강화하고 보안체계를 개선하겠다고 했지만 비슷한 문제는 반복되고 있다. 사고가 발생한 뒤 대책을 내놓는 것도 중요하지만 그에 앞서 취약점을 찾고 고치는 작업이 제대로 이뤄지고 있는지 돌아볼 때다.
더구나 개인정보 유출은 피해 규모를 금액으로만 가늠하기 어렵다. 한 번 유출된 개인정보는 비밀번호처럼 손쉽게 바꿀 수도 없다. 당장 금전적 손실이 없더라도 유출된 정보가 언제 범죄에 악용될지 모른다는 불안은 오롯이 고객의 몫이다.
금융회사들은 그동안 디지털 전환과 AI 혁신을 경쟁적으로 내세웠다. 은행에 가지 않아도 대출을 받고 자산을 관리하는 편리한 금융환경을 만들었다. 하지만 서비스가 편리해질수록 외부 공격에 노출되는 경로도 다양해진다. 금융 혁신의 속도에 보안 투자가 따라가지 못한다면 그 부담은 결국 고객에게 돌아간다.
AI 해킹은 앞으로 더욱 정교해질 것이다. AI 해킹에 대응할 첨단 기술을 도입하는 것도 중요하지만, 그보다 먼저 기존 시스템의 허점부터 꼼꼼히 살펴야 한다. 금융의 출발점은 혁신이 아니라 신뢰다. 금융권이 다시 새겨야 할 가장 기본적인 원칙이다.
이주희 기자 jh224@segye.com
