금융권 보안체계, 580여 곳 전수조사

금융권 보안체계가 은행과 증권, 보험을 넘어 가상자산·전자금융·온라인투자연계금융업까지 아우르는 전면 조사에 들어간다. 대상은 금융회사와 전자금융업자, 가상자산사업자 등 580여 개사다. 고객에게 공개된 홈페이지뿐 아니라 직원용 업무망, 제휴 업무, 개발·시험 환경처럼 외부에서 접근할 수 있는 모든 접점과 내부통제 운영 실태를 함께 살핀다.

금융위원회는 2026년 11월 5일 금융감독원, 금융보안원, 전 금융권 협회장 등이 참석한 가운데 AI 시대 보안체계 혁신을 위한 전 금융권 간담회를 열었다. 최근 잇따른 침해사고를 계기로 금융회사의 허술한 보안 요소를 찾아 보완하고, 유출된 정보가 보이스피싱이나 명의도용 등 추가 피해로 이어지는 것을 막는 방안이 다뤄졌다. AI를 이용한 공격에 AI 기반 방어기술로 맞서는 새로운 보안체계도 주요 과제로 제시됐다.

침해사고 40건 정보유출 47만3000건

금융권 침해사고가 확인된 2026년 9월 30일부터 같은 해 11월 3일까지 37개사에서 모두 40건의 침해사고가 신고됐다. 현재까지 파악된 정보유출 규모는 약 47만3000건이다.

유출된 자료에는 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등 금융회사가 영업 과정에서 수집한 정보가 주로 포함됐다. 다만 계좌 비밀번호처럼 곧바로 부정결제에 악용될 우려가 있는 정보의 유출은 확인되지 않았다.

일부 소규모 가상자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 회사가 관리하던 자금이 탈취되는 사고도 발생했다. 신고된 자금 탈취 규모는 현재까지 약 10억 원이다. 개별 이용자의 자금 손실은 아직 현실화되지 않은 것으로 파악됐다.

외부에서 접근 가능한 모든 시스템 조사

이번 조사는 은행·보험·증권 등 전통적인 금융업뿐 아니라 전자금융업, 온라인투자연계금융업과 전자금융거래법 적용 대상이 아닌 가상자산업권까지 포함한다. 모든 금융업권의 IT 자산을 대상으로 외부접점과 내부통제체계가 제대로 운영되는지 확인한다.

조사 범위는 고객이 이용하는 홈페이지와 애플리케이션에 그치지 않는다. 직원관리와 내부업무, 외부 업체와 연결되는 제휴업무를 비롯해 외부에서 접근할 수 있는 모든 업무영역이 포함된다. 인증·접근통제 시스템, 영업 및 관리 목적의 API, 개발·시험 시스템과 임시 운영 시스템도 살핀다. 최근 사고가 발생한 핵심 시스템은 물론 그 주변부에 놓인 시스템까지 빠짐없이 확인한다는 방침이다.

내부통제 조사에서는 최고경영자와 정보보호최고책임자, 최고정보책임자 등 주요 임원이 맡은 역할과 책임을 확인한다. 외부접점을 만들고 운영한 뒤 폐기하는 전 과정에서 어떤 의사결정 절차를 거쳤는지, IT 자산 관리대장을 실제로 작성하고 관리했는지도 조사한다. 문제가 드러나면 필요한 보완을 즉시 요구할 예정이다.

중요 취약점 발견 시 외부접근 차단

고객이나 금융회사의 금전 피해로 이어질 수 있거나 개인정보 유출 가능성이 큰 취약점이 확인되면 해당 서비스는 즉시 중단하고 외부접근을 차단해야 한다.

취약점을 곧바로 고치기 어렵지만 중요한 서비스 제공과 직접 연결돼 있다면 엄격한 조건을 거쳐 서비스를 다시 운영할 수 있다. 이때는 위험을 대신 통제할 수 있는 면밀한 시스템을 갖추고 최고경영자의 승인을 받아야 한다. 서비스를 재개하더라도 취약점 보완과 장비 교체 등 근본적인 개선 조치는 최대한 신속하게 이행해야 한다.

전수조사가 끝난 뒤 침해사고가 발생하면 앞서 진행한 조사와 보완 조치가 제대로 이뤄졌는지도 확인한다. 형식적인 확인에 그쳤거나 필요한 조치를 하지 않은 사실이 드러날 경우 책임을 따질 방침이다.

관리대장에 등록된 시스템의 외부접점 조사는 2026년 11월 30일까지 마칠 계획이다. 관리대장에 올라 있지 않은 시스템과 최고경영자·정보보호최고책임자 등을 포함한 내부통제체계 전반의 조사는 2026년 12월 31일까지 완료할 예정이다.

조사 결과를 토대로 모든 금융권이 효과적인 보안 내부통제 시스템을 갖출 수 있도록 보안 내부통제 지침을 2027년 1분기에 제정해 시행할 계획이다.

공격정보 금융권 전체에 신속 공유

금융권 공동 해킹 관제시스템도 고도화한다. 개별 금융회사가 확인한 침해 시도의 정황과 구체적인 내용을 다른 금융업권에 빠르게 알릴 수 있는 체계를 구축한다.

대형 금융회사는 자체 관제 과정에서 찾아낸 공격방식과 공격자 IP, 악용된 취약점, 악성코드 정보를 통합관제시스템인 FIRST를 통해 금융권 전체에 전달한다. 다른 회사들이 같은 공격을 받기 전에 필요한 조치를 할 수 있도록 정보를 선제적으로 공유하는 방식이다.

시스템 고도화 작업은 2026년 12월 시범운영을 거친다. 2027년 1분기에는 모든 금융업권이 전면적으로 활용할 수 있도록 할 계획이다.

가상자산거래소처럼 전자금융거래법이 적용되지 않는 업권의 사고 신고와 상황 전파 체계도 정비한다. 이들 업권에서 침해사고가 발생하면 한국인터넷진흥원뿐 아니라 금융감독원과 금융보안원에도 즉시 신고하도록 하는 지침을 2026년 11월 중 마련할 예정이다.

대형 금융회사 취약점 평가 연 2회

금융권의 취약점 분석·평가 제도도 손질한다. 대형 금융회사부터 단계적으로 분석·평가 횟수를 연 1회에서 연 2회로 늘린다. 전자금융거래와 직접 또는 간접적으로 연결된 모든 외부접점은 의무적으로 평가 대상에 포함한다.

평가 주기 단축과 모든 외부접점의 평가 대상 포함, 필요할 때 실시하는 수시평가 등은 전자금융감독규정 개정안에 담는다. 2026년 11월 중 규정 변경을 예고할 계획이다. 보안 의무를 제대로 이행하지 않은 경우 이행강제금을 부과하는 제도는 이미 발의된 전자금융거래법 개정안이 2026년 안에 국회를 통과할 수 있도록 입법을 지원한다.

중소 금융회사에 AI 방어서비스

보안 전문인력과 예산이 상대적으로 부족한 중소형 금융회사에는 금융보안원의 역량을 활용한 지원이 제공된다. 금융보안원은 AI 등을 이용해 중소 금융회사의 외부접점과 취약요인을 상시 탐색하고, 위험의 우선순위와 필요한 조치까지 한 번에 제공하는 원스톱 AI 방어서비스를 지원한다.

금융회사별 보안역량에 맞춰 필요한 조치를 구분해 제시하는 맞춤형 보안 안내서도 제공한다. 외부에 노출된 자산을 목록으로 만드는 방법과 보안 패치를 적용할 기간을 정하는 방법 등 기본적인 내용을 현장에서 쉽게 적용할 수 있도록 구성한다.

침해공격의 위험도를 금융회사가 직관적으로 판단할 수 있도록 단계별 경보체계와 단계별 행동요령도 지원한다. 관련 사업은 2026년 12월부터 순차적으로 시행할 예정이다.

유출정보의 보이스피싱 악용 차단

금융권에서 유출된 소비자 정보가 보이스피싱과 명의도용 등 범죄로 이어지지 않도록 불법유통 감시부터 실제 피해 차단까지 이어지는 대응체계를 운영한다.

다크웹과 텔레그램처럼 추적하기 어려운 온라인 채널을 상시 관찰해 금융권에서 탈취된 정보가 유통되거나 거래되는지 살핀다. 금융회사를 겨냥한 침해공격을 준비하는 정황, 새롭게 등장한 악성코드와 보안 취약점도 함께 확인한다.

AI를 활용해 범죄계좌와 의심거래를 조기에 찾아내고 금융회사 사이의 정보공유도 확대한다. 2025년 10월 출범한 금융권 공동 보이스피싱 정보공유·분석 플랫폼 ASAP의 AI 분석기능을 높여 범죄계좌를 더 신속하게 탐지하고 동결하는 체계를 구축할 계획이다.

금융회사가 범죄 연루 여부가 의심되는 거래를 ASAP에 질의하면 AI가 해당 거래의 보이스피싱 관련 가능성을 분석해 점수로 보여주는 의심거래 판단지수도 2026년 11월부터 시범 도입한다. 이 지수는 피싱지수로도 불린다.

보이스피싱 피해자를 보호하고 금융회사의 예방 노력을 높이기 위해 범죄 피해의 일정 부분을 금융회사가 배상하도록 하는 무과실책임의 법제화도 추진한다. 금융회사에 과도한 부담이 생기지 않도록 보상 대상과 한도, 면책 범위 등 구체적인 적용 요건은 하위 규정 등을 통해 설계할 예정이다. 통신사 등에 책임을 부여할 필요가 있다는 의견도 관계부처와 공론화할 계획이다.

AI 공격을 AI로 막는 체계

AI를 활용한 보안위협이 현실화함에 따라 금융권의 AI 이용과 보안을 함께 다루는 새로운 체계가 검토된다. 망분리 규제 전면해제 전담조직을 가동해 금융권의 AI 활용을 뒷받침하면서 보안 수준도 높일 수 있는 방안을 다룬다.

금융회사가 보안 업무에 AI를 상시 활용할 수 있도록 관련 제도를 정비한다. 현재 긴급조치로 진행 중인 보안 목적의 AI와 서비스형 소프트웨어 이용을 위한 망분리 규제 완화 조치는 상시 제도로 전환한다. 다양한 신규 IT 서비스에 대한 망분리 규제 완화도 혁신금융서비스 등을 통해 이어갈 계획이다.

디지털금융 안전법 2027년 1분기 법안

빠르게 달라지는 보안환경에 맞춰 금융권과 관련 업종에 전산보안 규율을 적용하기 위한 디지털금융 안전법은 2027년 1분기 법안 마련을 목표로 한다.

침해사고가 발생했을 때 고객의 자산이 직접 손실될 가능성이 큰 업종에는 현행 전자금융거래법과 같은 수준의 보안 규율을 적용하는 방안이 추진된다. 금융회사는 아니지만 여러 금융회사와 연결돼 있는 클라우드 사업자와 플랫폼 등 제3자를 대상으로 한 규율체계도 검토한다.

이억원 금융위원장은 작은 보안 취약점 하나가 금융회사 전체뿐 아니라 금융시스템의 신뢰를 훼손할 수 있다며 기존 보안관리 방식과 관행을 벗어나 보안체계를 전면적으로 바꿔야 할 시점이라고 밝혔다.