AI 해커의 습격, 금융권 흔들다
국회 정무위원회 국정감사에서 이억원 금융위원장이 금융권 보안을 강하게 질타했습니다. AI 기반 해킹이 갈수록 늘고 있는데 금융회사들의 대응은 기본적인 수준에도 못 미친다는 겁니다. 그는 KB국민은행, 신한은행, 하나은행 등 7개 금융기관의 정보유출 사례를 언급하며 철저한 점검과 체계 재정비를 주문했습니다.
공격자의 윤곽도 드러나고 있습니다. 글로벌 보안기업 크라우드스트라이크는 이번 공격이 중국 광둥성에 거주하는 26세 인물일 가능성이 크다고 밝혔습니다. 그는 홍콩에 거점을 두고 미국 로스앤젤레스 서버를 경유해 한국 금융사를 겨냥했으며, 생성형 AI 코딩 도구인 클로드 코드를 활용해 침투한 것으로 분석됐습니다. 추적을 피하려 9개의 프록시 IP를 거쳤지만, AI에게 이력서를 작성하도록 지시하는 과정에서 신상 정보를 흘렸습니다.
보안평가, 실전형으로 바뀐다
이런 위협에 맞서 금융당국도 제도를 손보고 있습니다. 금융사 보안평가를 실전형으로 전환하고 모의해킹을 정식 평가 항목으로 신설하기로 한 겁니다. 실제 공격 상황을 가정해 방어 능력을 검증하겠다는 취지입니다. 지난해 7월 금융보안원이 내놓은 대응요령에도 외부 시스템과 API 취약점 점검이 담겨 있었습니다.
AI는 사람이 놓치기 쉬운 가장 약한 지점을 정확히 파고듭니다. 한창민 사회민주당 의원은 자산을 남기지 않는 방식의 점검과 기본적인 보안조치가 필요하다고 지적했습니다. 위원장도 기존 가이드라인에 따라 취약점을 철저히 점검하고 보안 체계를 재정비해야 한다고 강조했습니다.
제재는 충분한가
해킹 사고가 반복되면서 제재 수위에도 관심이 쏠립니다. 롯데카드는 약 300만 고객의 민감 정보를 유출해 영업정지 1.5개월과 과징금 50억 원, 개인정보보호위원회 부과 96억여 원을 받았습니다. 모아저축은행도 2023년 AI 해킹으로 개인정보가 유출돼 기관주의와 과징금 처분을 받았습니다.
다만 신용정보법상 과징금 상한이 5억 원에 묶여 있고 협조나 수습 여부에 따라 감경되는 구조라 실효성 논란이 이어집니다. 금융당국은 전자금융거래법 개정으로 징벌적 과징금 부과를 추진하고 있습니다. 한편 국민건강보험공단은 AI로 질병 위험도를 예측하고 식단과 복약을 관리하는 개인맞춤 건강관리 플랫폼 건강모아를 선보였습니다. 같은 AI가 금융권에서는 공격 도구로, 공공 서비스에서는 편의 수단으로 쓰이는 셈입니다.