작년 보안 취약점 1286건 발견
올해도 952건 찾아 846건 보완
3대銀 정보보호 투자액 6% 감소
“공격 횟수 급증… 투자 등 점검을”
은행권 모의해킹에서 발견된 보안 취약점이 지난해 20% 넘게 늘어난 것으로 나타났다. 올해도 8월까지 952건의 취약점이 발견된 가운데 전년과 비교 가능한 주요 은행 3곳의 지난해 정보보호 투자액은 오히려 줄었다. 신한은행을 비롯한 시중은행에 이어 저축은행·캐피털사까지 해킹 피해가 잇따라 확인되면서 취약점 보완과 공격 대응에 필요한 투자가 충분히 이뤄지고 있는지 전면적인 점검에 나서야 한다는 지적이 나온다.
■취약점 늘었는데 은행 투자 ‘감소’
4일 더불어민주당 박상혁 의원실이 금융감독원에서 제출받은 자료에 따르면 20개 은행의 지난해 모의해킹에서 발견된 유효 취약점은 1286건으로 전년 1071건보다 215건(20.1%) 증가했다. 발견된 취약점은 2022년 683건, 2023년 785건에 이어 2024년부터는 1000건을 넘는 등 해마다 늘었다. 올해는 8월까지 952건이 발견됐으며 이 가운데 846건은 보완을 마쳤다. 나머지 106건은 후속 조치가 진행 중이다. 모의해킹 수행 건수는 2024년 107건에서 지난해 121건으로 13.1% 증가했다. 같은 기간 발견된 취약점 증가율 20.1%가 모의해킹 수행 건수 증가율을 웃돈 셈이다.
반면 주요 은행의 정보보호 투자는 감소하는 모습이다.
한국인터넷진흥원(KISA) 정보보호 공시에 따르면 KB국민·신한·하나·우리은행의 지난해 정보보호 투자액은 총 1537억7000만원이다. KB국민은행 433억2000만원, 하나은행 371억7000만원, 신한은행 369억원, 우리은행 363억8000만원 순이다. 하나은행은 올해 처음 공시에 참여해 지난해 실적을 공개했고 NH농협은행은 아직 해당 공시에 참여하지 않고 있다.
전년과 비교가 가능한 KB국민·신한·우리은행 등 3개 은행의 투자액은 2024년 1239억5000만원에서 지난해 1166억원으로 5.9% 감소했다. KB국민은행의 투자액은 늘었지만 신한은행과 우리은행은 줄었다. 이에 따라 3개 은행의 합산 정보기술(IT) 투자액 대비 정보보호 투자 비중도 9.14%에서 8.35%로 낮아졌다.
은행권 관계자는 “시스템을 대대적으로 업그레이드하는 작업을 매년 하지는 않기 때문에 투자액이 늘었다가 줄어들 수 있다”며 “비중으로 보면 적어 보일 수 있지만 절대적인 금액은 크다”고 설명했다.
■2금융권까지…탐지 사각지대 우려
이런 상황에서 금융권의 보안 긴장감은 갈수록 높아지고 있다. 지난 1일 신한은행의 2만5000여명의 개인정보 유출 사고가 알려진 이후 다른 시중은행과 저축은행, 캐피털 업체까지 정보유출이 확인됐다. 상호금융에서도 유사한 침입 시도가 포착됐지만 정보유출 피해는 발생하지 않은 것으로 파악됐다. 특히 이번에 확인된 공격은 대출모집인 관련 서비스나 직원용 업무지원시스템 등 외부와 접점이 있는 별도 시스템을 노렸다는 공통점이 있다. 일부 공격에는 인공지능(AI) 에이전트가 활용된 것으로 추정되고 있다.
AI 도구가 고도화되면서 정보보안 공격 자동화의 문턱이 낮아졌고, 이에 따라 공격자가 업무지원시스템 등 상대적으로 관리 우선순위가 낮았던 영역까지 폭넓게 노릴 수 있다는 우려도 제기된다.
공격의 목적과 유형을 즉각 파악하기 어렵다는 점도 부담이다. 시스템에 직접 침투하려는 것인지, 악성 프로그램을 심기 위한 사전 탐색인지 구분하기 어려운 시도가 적지 않다는 설명이다. 이미 탐지한 공격을 차단했더라도 보안 시스템에 포착되지 않은 침입 시도가 있었을 가능성도 배제하기 어렵다.
금융권에서는 내부 점검에서 발견된 취약점을 신속히 보완하는 동시에 대출모집인 조회 서비스와 업무지원시스템 등 외부 접점이 있는 시스템까지 점검 범위와 투자를 확대할 필요가 있다는 지적이 나온다. 금융권 관계자는 “무작위 공격이 매일 끊이지 않는 가운데 공격 횟수가 급증한 뒤에도 높은 수준이 이어지고 있다”며 “공격 의도나 유형을 파악하기 어려운 경우도 많고, 탐지하지 못한 공격이 있을 수 있어 모두 막았다고 장담하기도 어렵다”고 말했다.
[email protected]
예병정 기자
