신한·KB국민·하나은행 고객정보 유출에서 시작된 해킹 사태가 두 주 만에 16개 금융사, 약 10만 건 규모로 번졌다. 5대 은행장은 19일 국정감사에서 고개를 숙였다.
금융권 해킹 사태가 한 달 가까이 이어지며 국정감사의 중심에 올랐다. 5대 시중은행장은 19일 국회 정무위원회 국정감사에 증인으로 출석해 대국민 사과에 나섰고, 보안 예산과 인력을 늘리고 인공지능(AI) 기반 대응체계를 강화하겠다고 약속했다. 정상혁 신한은행장은 “많은 수의 고객 정보가 유출돼 송구스럽다”고 말했다.
사태는 9월 30일 신한은행 침해사고가 접수되며 시작됐다. 신한·KB국민·하나·우리·NH농협은행이 모두 공격을 받았고, 이 가운데 신한·KB국민·하나은행에서 실제 고객정보가 빠져나갔다. 신한은행에서는 대출모집인이 쓰는 간편 조회 서비스의 본인 확인 절차가 우회되면서 고객 약 2만 5천 명의 정보가 유출됐다. 고객명, 전화번호, 연 소득, 대출 한도 등이 포함됐고 일부는 주민등록번호와 연계정보(CI)도 들어 있었다. KB국민은행은 직원용 모바일 업무지원시스템에서 119명, 하나은행은 영업지원시스템에서 89명의 정보가 유출됐다. 우리은행과 NH농협은행은 접근 시도를 차단해 현재까지 유출이 확인되지 않았다.
공격 수법은 이미 확보한 아이디·비밀번호 조합을 여러 시스템에 무차별 대입하는 ‘크리덴셜 스터핑’으로 파악된다. 금융당국은 신한·KB국민·하나·BNK부산은행 등 7개사 공격에서 동일한 공격자가 AI 도구를 쓴 정황을 발견했다고 밝혔다. BNK부산은행은 AI 에이전트를 활용한 것으로 보이는 외부 웹서버 공격 시도를 탐지했다고 설명했다. 다만 AI의 정확한 역할은 아직 조사 중이다.
피해는 은행 밖으로 번졌다. 금융위원회는 14일 2차 긴급 상황대응 회의에서 은행부터 저축은행, 상호금융, 여신전문금융, 전자금융, 가상자산사업자까지 16개 금융회사에서 침해사고가 확인됐고 유출 규모는 약 10만 건이라고 밝혔다. 당초 7곳으로 알려졌던 피해 회사는 공유된 공격자 IP를 대조하는 과정에서 숨어 있던 침해가 하나씩 드러나며 늘었다. 경찰청 사이버테러대응수사대도 입건 전 조사에 착수했다.
이번 사태의 특징은 뚫린 곳이 모바일뱅킹 같은 핵심 거래 시스템이 아니라는 점이다. 공격은 직원이나 대출모집인이 쓰는 업무지원 시스템 등 ‘외곽’에 집중됐다. 금융당국은 정보조회 서비스의 본인확인 누락, 직원용 서비스의 모바일 단말기 접근통제 미비, 이미 알려진 웹 취약점에 대한 미조치를 주요 취약 요인으로 지목했다. 금융보안원은 실제 피해를 가른 요인으로 다중인증체계 구축 여부와 기존 취약점 조치 여부를 꼽았다.
보안에 얼마나 돈을 썼느냐만으로는 설명이 어렵다는 점도 눈에 띈다. 국회에 제출된 자료에 따르면 신한은행의 올해 정보보호 예산은 405억 9,100만원으로 5대 은행 중 가장 적었다. 하지만 예산이 가장 많은 KB국민은행에서도 고객정보가 유출됐다. 결국 관건은 예산 규모보다 보안 투자가 실제 취약 지점까지 닿았느냐라는 지적이다.
금융당국은 대응 수위를 높이고 있다. 10월 8일까지 전 금융권 555개사를 대상으로 12개 항목의 체크리스트 점검을 진행한 결과 130곳에서 1~2개 항목의 미흡 사항이 드러났다. 신진창 금융위원회 사무처장은 기본적인 부분이 지켜지지 않은 사례가 발견된 것이 “매우 뼈아프다”고 밝혔다. 금융위는 대형 금융사의 취약점 점검·평가 주기를 연 1회에서 2회 이상으로 늘리고, 금융회사가 자체 관제에서 찾은 위협 정보도 공유할 수 있는 구조로 바꾸며, AI 위협 정보체계와 AI 기반 취약점 점검 인프라를 갖추겠다는 방침이다.
아직 끝난 사태가 아니다. 집계가 완료되지 않았고, AI 활용 방식과 공격자 규명을 포함한 최종 조사 결과도 나오지 않았다. 앞으로는 유출 규모 확정과 함께 금융권이 외곽 시스템의 접근통제와 인증을 얼마나 빠르게 보강하는지가 관건이 될 전망이다.