▲ 금융위원회.[연합뉴스]

국내 금융권에서 해킹 사고가 잇따르는 가운데 해외 금융당국은 침입 차단뿐 아니라 사고 이후 핵심 금융서비스를 실제로 복구할 수 있는지까지 감독에 반영하고 있다.

19일 금융당국에 따르면 금융위원회가 지난 14일 확인한 침해사고 발생 금융회사는 16곳이다. 은행권에서는 KB국민은행(이환주)과 신한은행(정상혁), 하나은행(이호성), BNK부산은행(김성주)이 포함됐다.

비은행권에서는 예가람·웰컴·OK·DB저축은행과 현대캐피탈, 산은캐피탈, 새마을금고중앙회에서 사고가 확인됐다. 온라인투자연계금융업체 PFCT·모우다, 전자금융업체 브라이트픽스, 가상자산사업자 스트리미·프라뱅도 포함됐다.

현재까지 파악된 정보 유출 규모는 약 10만건이다. 금융당국은 사고별 침해경로와 동일 공격자 여부 등을 조사하고 있다.

금융회사의 보안관리에서도 취약점이 드러났다.

금융위가 금융회사 555곳을 대상으로 실시한 체크리스트 점검에서 130곳이 미흡사항을 보고했다. 보안패치 미적용, 기술지원이 종료된 시스템의 관리 부실, 24시간 관제체계 미구축, 외부 시스템의 인증·접근통제 누락 등이 주요 사례였다.

신진창 금융위 사무처장은 지난 14일 회의에서 "수차례에 걸쳐 전수 점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다.

해외 금융권 역시 침해사고가 발생하고 있지만 감독 방식은 사고 이후의 업무 복구 능력을 직접 검증하는 방향으로 확대되고 있다.

유럽중앙은행(ECB)은 2024년 직접 감독하는 은행 109곳을 대상으로 사이버 복원력 스트레스테스트를 실시했다. 보안체계가 뚫리고 핵심 시스템의 데이터베이스가 공격받는 상황을 가정한 시험이다.

ECB는 이 가운데 28곳에 실제 전산 복구시험을 수행하고 성공 여부를 입증하도록 요구했다. 비상계획 가동과 데이터 복원은 물론 복구 과정에서 금융서비스를 유지하고 외부업체와 협력할 수 있는지도 점검했다.

ECB는 시험 목적을 "은행이 사이버공격에 어떻게 대응하고 복구하는지(how banks would respond to and recover from a cyberattack)" 평가하는 것이라고 설명했다. 시험 결과는 은행별 감독평가에 반영됐다.

후속 개선도 이뤄졌다. ECB가 올해 6월 발표한 자료에 따르면 당시 스트레스테스트에서 확인된 감독상 지적사항의 약 4분의 3이 개선됐다.

감독 강화가 은행의 보안투자를 늘렸다는 실증연구도 나왔다.

국제결제은행(BIS)이 올해 5월 발표한 연구논문 '디지털 위험 통제: 사이버 스트레스테스트의 증거(Disciplining digital risk: evidence from cyber stress tests)'는 유로지역 대형 은행 109곳의 감독자료를 분석했다.

연구진에 따르면 ECB의 스트레스테스트 예고 이후 은행권 보안투자는 약 45% 증가했다. 특히 기존에 보안투자가 부족했던 은행들은 다른 은행보다 약 80% 높은 상대적 투자 증가 효과를 보였다.

연구진은 "표적화된 감독 점검이 보안투자 부족 유인을 완화하는 데 도움이 될 수 있다(targeted supervisory scrutiny may help mitigate underinvestment incentives)"고 분석했다. 다만 80%는 해킹 사고 감소율이 아닌 보안투자 확대 효과를 추정한 수치다.

영국도 핵심 금융서비스의 복구체계 강화에 나섰다.

세라 브리든(Sarah Breeden) 영란은행 부총재는 지난 15일 "사이버 공격자가 뚫고 들어오지 못할 것이라고 가정하는 것만으로는 이제 충분하지 않다(It's not enough now to assume that the cyber attackers won't get through)"고 밝혔다.

영란은행은 주요 금융회사들과 기존 전산망이 손상되더라도 필수 금융서비스를 재개할 수 있는 독립적인 복구체계를 검토하고 있다.

유럽연합(EU)은 지난해 1월부터 적용한 디지털 운영복원력법(Digital Operational Resilience Act·DORA)을 통해 금융회사의 정보기술 위험관리와 사고 대응, 복구시험을 제도화했다. 금융회사가 의존하는 핵심 외부 정보기술 서비스업체도 감독 대상에 포함했다.

국내 금융당국도 보안체계 전수점검과 관제 시스템 고도화, 외부 연결 시스템의 접근통제 강화, 최고경영자(CEO) 책임 확대를 추진하고 있다.

다만 지난 14일 발표한 대책에서는 ECB와 같은 실제 침해 상황을 가정한 복구시험의 대상과 평가기준, 시행 일정이 구체적으로 제시되지 않았다. 국내에도 재해복구훈련과 전산장애 대응체계가 있지만 실제 사이버공격을 전제로 한 복구 능력의 검증 범위와 감독 활용 수준은 별도로 살펴볼 필요가 있다.

이에 따라 국내 금융보안체계도 해외처럼 실제 해킹 상황을 가정한 복구시험을 정례화하고, 핵심 금융서비스의 복구 능력과 점검 결과를 감독평가 및 경영진 책임 점검에 반영하는 등 실효성 있는 관리체계를 강화해야 한다는 의견이 나온다.

토요경제 / 김연수 기자 kys@sateconomy.co.kr

[ⓒ 토요경제. 무단전재-재배포 금지]