해킹 대책 내놓은 날 또 해킹 당해… 한국 최대 증권사마저 뚫렸다

최근 금융권에서 전방위 해킹 사고가 잇따르는 가운데 대형 시중은행에 이어 국내 최대 증권사인 미래에셋증권마저 뚫렸다. 이로써 해킹 피해를 입은 금융사는 38곳으로 늘었다. 당국이 기존 공격 경로를 차단하는 사이 해커들은 인공지능(AI)을 활용해 새로운 취약점을 파고들면서 보안 대응이 해킹 속도를 따라잡지 못하고 있다는 지적이 나온다. 금융위 회의만 6번… 피해는 더 확산 8일 금융권에 따르면 미래에셋증권은 지난 4, 5일 해킹 공격을 받아 고객 약 3,800명의 계좌번호와 임직원 3만5,255명의 개인정보가 유출됐다. 4일에는 모바일웹 로그인 서비스가, 5일에는 사내 그룹웨어가 공격받았다. 앞서 미래에셋생명과 미래에셋자산운용, 에너지인프라자산운용에서도 외부 침입이 확인되면서 미래에셋그룹 계열사 4곳이 잇따라 해킹 피해를 입었다. 이미지 확대보기 공교롭게도 금융당국이 외부 연계 시스템의 보안 취약점을 차단하겠다며 해킹 방지 대책을 발표한 5일, 미래에셋증권에서도 같은 유형의 공격이 발생한 것이다. 금융위원회는 해킹 사고가 터진 한 달여 동안 관련 회의만 여섯 차례 열고 시장에 신속 대응을 강조했지만, 해킹 피해는 오히려 확산하고 있다. 미래에셋증권이 추가되면서 피해 금융회사는 38곳으로 늘었고, 유출 규모도 51만 건을 넘어선다. 금융당국이 사후 대응에만 급급할 뿐 실질적인 보안 대책 마련은 미흡하다는 지적이 나온다. 당국은 지난달 전 금융권(555곳) 대상으로 보안 체크리스트 점검에 나선 데 이어 5일엔 최근 문제가 된 외부 연계 서버까지 전수점검 대상에 포함하는 등 점검 범위를 확대했다. 문제는 금융회사마다 외부와 연결된 시스템이 복잡하게 얽혀 있어 취약점을 일일이 찾아내기 어렵다는 점이다. 이번 증권사 해킹에서도 대신증권은 외부 업체와 연결된 계좌개설 서버가, 미래에셋증권과 한양증권은 그룹웨어가 뚫렸다. 해커들이 관리대장에 등록되지 않은 시스템을 공격 경로로 이용하면서 점검망을 대거 비껴간 것이다. 전수점검의 실효성에도 의문이 제기된다. 해커들은 AI를 활용해 취약점을 찾아내고 공격 코드까지 수십 분 만에 만들어내지만, 금융회사는 담당자가 수많은 시스템에 숨어 있는 취약점을 일일이 점검해야 하는 실정이다. 그사이 해커는 다음 빈틈을 찾아 파고든다. 금융보안원이 탐지하는 의심 트래픽만 하루 10만~15만 건에 달하고, 새로운 소프트웨어 취약점도 연일 공개되고 있다. 특정 시점의 보안 상태를 확인하는 점검만으로는 끊임없이 진화하는 해킹 공격을 막기 어렵다는 얘기다. 임종인 고려대 정보보호대학원 교수는 '사실상 AI와 사람과의 싸움'이라며 '과거에는 취약점을 발견하고 공격하기까지 며칠이 걸렸지만 이제는 AI를 활용해 20분 만에도 공격할 수 있다'고 말했다. 그러면서 '어디에 어떤 취약점이 있는지도 모르고 조사 인력도 부족한데 전수점검이 가능하겠느냐'고 지적했다. AI 대 사람 싸움… AI 기반 점검 도구 도입해야 당국은 취약점 점검을 연 2회로 늘리기로 했지만, 사고가 집중된 중소형사는 2028년에야 포함된다. 망분리 해제 방안, 디지털금융안전법 등 보안 체계를 근본적으로 손질할 제도 정비는 내년 1분기에야 나온다. 현재 당국의 대응으로는 해커의 속도를 따라잡을 수 없다는 비판이 나오는 이유다. 전문가들은 사람 중심의 전수점검에서 벗어나 AI 기반 보안 솔루션으로 취약점을 선제적으로 탐지하는 방식으로 금융권 보안체계를 전환해야 한다고 제언했다. 임 교수는 '해커들이 AI를 활용해 공격하는 만큼 금융회사도 AI 기반 점검 도구를 도입해 먼저 취약점을 찾아내야 한다'고 말했다. 염흥열 순천향대 정보보호학과 교수는 '금융사들이 취약점을 찾더라도 보안 패치까지 이행하지 않아 해커가 그 지점을 계속 공격하고 있다'며 '패치 완료 여부를 당국이 상시 확인하고 필요하다면 소프트웨어 업계와 협력해 패치 작성 지원책도 제공해야 한다'고 강조했다.