금융위, 금융권 580개사 보안 전수점검 추진

2026.11.05. 공정경제 — 금융위원회와 금융권이 인공지능(AI) 시대 보안체계 혁신 방안을 논의했다. 주요 안건은 약 580개사 대상 외부접점, 내부통제 전수점검, 대형 금융회사 취약점 분석·평가 연 2회 이상 의무화, 망분리 규제 전면해제 태스크포스(TF) 가동 등이다.

금융위는 이억원 금융위원장 주재로 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 5일 금융보안원 여의도 분원에서 열었다.

간담회에는 금융감독원 수석부원장과 디지털·IT부원장보, 금보원장과 사이버대응본부장, 금융AI보안연구소장이 자리했다. 은행, 생명보험, 손해보험, 금융투자, 여신전문금융 업권 협회장과 저축은행중앙회, 신협, 농협, 수협, 새마을금고 중앙회장도 참석했다. 가상자산, 전자금융, 온투업 협회장도 함께했다. 범정부 공조 차원에서 국무조정실, 과기부, 행안부, 개보위, 방미통위, 경찰청, 한국인터넷진흥원(KISA)과 민간 기술자문단도 자리를 같이했다.

금융권 침해사고가 확인된 9월 30일 이후 11월 3일까지 37개사에서 40건이 신고됐다. 업권별로는 전자금융 10개사, 금융투자 5개사, 저축은행 5개사, 은행 4개사, 온투 4개사, 보험 3개사, 가상자산 3개사, 여신 2개사, 상호금융 1개사다. 10월 14일 전 금융권 체크리스트 점검이 끝난 뒤에는 중소규모 증권사와 보험사, 전자금융업, 온투업, 가상자산거래소의 신고가 많았다.

정보유출은 약 47만3000건으로 파악됐다. 임직원 정보와 고객 성명, 주민등록번호, 계좌번호가 많았고 계좌 비밀번호 등 부정결제 우려 정보의 유출은 확인되지 않았다.

일부 소규모 가상자산거래소, 전자금융업자, 온투업자에서는 약 10억원의 자금 탈취가 신고됐다. 가상자산 핫월렛, 소비성 포인트, 온투업 예치금처럼 회사가 고객 자금을 통합 관리하는 계정에서 이체가 발생했고 개별 이용자의 자금 손실은 현실화되지 않았다. 금융위와 금감원은 11월 2일 디지털자산거래소 공동협의체(DAXA)와 주요 가상자산사업자 등이 참여한 긴급점검 회의를 열어 가상자산업권에 철저한 관리 조치를 주문했다. 정부는 10월 6일 소비자 경보를 발령하고 행동요령을 발표했으며 이상거래 모니터링도 강화하고 있다.

전수점검 대상은 전 금융회사와 전자금융업자에 가상자산사업자까지 더한 580여개사다. 전자금융거래법이 적용되지 않는 가상자산업권도 포함한다. 최근 해킹은 보안이 철저한 핵심 시스템이 아니라 인력 한계로 관리가 소홀한 영업, 상담용 내부직원 웹과 모바일 서비스의 외부접점을 집중 공략했다. 권한관리 부실, 이중인증 우회, 부실한 응용프로그램인터페이스(API) 관리 같은 '약한고리'가 피해의 상당수를 낳았다.

이에 웹사이트 등 대고객 서비스는 물론 직원관리, 내부업무, 제휴업무처럼 외부에서 접근할 수 있는 모든 업무영역을 점검한다. 인증, 접근통제 시스템 전반, 영업, 관리 목적 API, 오픈소스 포함 소프트웨어, 개발, 테스트 및 임시운영 시스템이 세부 대상이다.

내부통제 점검은 내규 유무, 결재, 승인, 보고 등 내부통제 작동 여부, IT자산, 서비스 관리대장 운영 여부, 취약점 분석·평가와 보안관제 여부를 본다. 최고경영자(CEO), 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 역할도 점검 항목이다. 금융회사가 먼저 자체점검을 하고 문제가 없더라도 점검방식과 판단사유를 상세히 적어야 한다. 관리대장을 재점검해 빠진 서비스는 등재한 뒤 점검한다. 내용이 부실하거나 중요한 취약점이 나오면 금감원과 금보원이 현장점검에 나선다.

불필요한 외부연결은 즉시 차단하고 타 이용자 정보 조회처럼 금전피해나 개인정보 유출로 이어지는 취약점은 보완 전까지 서비스를 중단해야 한다. 즉시 보완이 어려운 중요 서비스는 CEO 승인과 책임 아래 대체통제를 적용해 재개할 수 있고 CISO의 이사회 보고와 승인을 병행한다. 관리대장 등재 시스템은 11월 30일, 미등재 시스템과 내부통제 전수조사는 12월 31일까지 마무리한다. 세부 항목과 점검방식은 금감원이 별도로 안내한다.

취약점 분석·평가는 현재 금융회사가 외부기관의 점검을 연 1회 이상 받아 금융당국에 제출하는 방식이다. 점검주기가 길고 외부 점검범위가 명시되지 않아 주변부 시스템까지 살피기 어려웠으며 보완사항을 이행시킬 수단도 마땅치 않았다. 금융위는 대형 금융회사부터 단계적으로 주기를 연 1회에서 2회로 줄이고 전자금융거래와 직간접적으로 관련된 모든 외부접점을 대상에 넣을 계획이다.

긴급 점검이 필요할 때 금융당국이 수시로 평가를 요구할 근거도 마련한다. 이를 담은 전자금융감독규정 개정안은 11월 중 규정변경을 예고한다. 중요한 취약점을 장기간 방치하면 시정명령을 내리고 미이행 시 이행강제금을 부과하는 전자금융거래법 개정안은 이미 발의돼 있어 연내 국회 통과를 지원할 방침이다.

중소형 금융회사에는 금융 인공지능(AI) 보안연구소와 지원센터를 통한 지원에 더해 금보원의 '원스톱 AI방어서비스'를 12월부터 순차 제공한다. 이 서비스는 AI로 외부접점과 취약요인을 상시 탐색하고 위험 우선순위와 조치방안까지 제공한다. 보안역량에 맞춰 조치 내용을 구분한 '맞춤형 보안 안내서'와 단계별 경보체계도 지원한다. 2차 피해 방지를 위해서는 다크웹과 텔레그램에서 탈취정보 유통, 침해공격 모의정황, 새 악성코드 출현을 상시 모니터링한다.

AI 기반 피싱지수는 거래의 보이스피싱 연루 가능성을 0점에서 100점으로 제시한다. 금융권 보이스피싱 정보공유·분석 플랫폼(ASAP, AI-based anti-phishing Sharing & Analysis Platform)에 11월부터 시범 도입한다. 상호금융과 저축은행 등 중소형사의 탐지역량을 높이는 효과도 기대된다.

망분리 규제 전면해제 TF에는 정부, 유관기관, 민간전문가, 전 금융권 담당임원이 참여할 계획이다. 데이터 중요도에 따른 관리, 보호체계와 모든 접근을 지속적으로 검증하는 '제로트러스트' 등 대체 보안수단을 논의한다. CEO, 이사회, CISO의 역할과 책임, 침해사고 시 핵심 서비스를 유지할 업무연속성 확보방안도 다룬다.

금융당국은 AI와 서비스형 소프트웨어(SaaS) 활용 관련 망분리 예외를 2024년 9월부터 허용했고 SaaS 이용 관련 예외는 올해 4월 상시화했다. 현재 비조치의견서로 긴급 시행 중인 보안목적 AI 활용 완화 조치도 상시 제도화한다.

금융위는 전수점검 결과를 토대로 '보안 내부통제 가이드라인'을 내년 1분기 중 마련해 시행할 계획이다. 전수점검 과정에서 드러난 관리부실은 즉시 보완을 전제로 최대한 유연하게 처리할 방침이다. 다만 점검 이후 침해사고가 나면 점검이 제대로 이뤄졌는지까지 따져 엄정히 책임을 묻는다는 방침이다. 이억원 금융위원장은 전 금융권 CEO에게 전사적 비상대응반을 즉시 구성해 전수점검과 제도개선 과제에 대응해 달라고 당부했다.

앞서 금융당국은 10월 14일 금융회사 555곳을 대상으로 한 12개 항목 보안 체크리스트 점검에서 130곳(23.4%)이 미흡하다고 밝혔다. 최신 보안패치 미적용, 제조사 기술지원이 끝난 노후 시스템 관리 미흡, 24시간 보안관제체계 미구축 등이 지적됐다.

당시 침해사고가 확인된 곳은 16개사, 정보유출은 약 10만건이었지만 이후 피해 규모가 크게 늘었다. 점검 실효성 논란이 일자 10월 19일 국회 정무위원회 국정감사에서 이찬진 금융감독원장은 전수조사를 다시 하겠다고 밝혔다.

현행 가상자산이용자보호법은 이용자 자산의 80% 이상을 콜드월렛에 보관하고 보험, 공제 가입이나 준비금 적립을 하도록 한다. 다만 별도의 손해배상 책임은 직접 규정하지 않는다. 국회 정무위에는 해킹 시 사업자에게 배상책임을 묻는 법안이 계류 중이고 금융당국도 무과실 배상 조항을 검토하고 있다.