1,200원짜리 해킹 도구의 습격
지난 9월 30일 신한은행을 시작으로 국내 금융회사 16곳이 연이어 해킹당했습니다. 약 10만 건의 고객 개인정보가 유출됐고, 신한은행만 2만 5천 명의 이름과 전화번호, 주민등록번호가 빠져나갔습니다. 사고의 중심에는 중국 스렛북이 개발한 AI 기반 취약점 탐지 도구 아르텍스가 있었습니다.
원래 기업 보안 점검용으로 깃허브에 무료 공개된 프로그램인데요. 1,200원 정도의 저렴한 이용료로 누구나 접근할 수 있게 되면서 공격 도구로 변모했습니다. 보안을 지키기 위한 도구가 오히려 금융권을 흔든 셈입니다. 개발자는 논란이 커지자 소스코드를 비공개로 전환했지만, 스렛북은 아르텍스 프로와 레드에이전트.ai라는 클라우드 플랫폼으로 상용화를 추진하고 있습니다.
드러난 보안 공백
이번 사고는 금융권의 취약한 기반을 그대로 보여줬습니다. 5대 은행의 정보보호 예산은 뚜렷하게 엇갈렸는데요. KB국민은행이 860억 원으로 가장 많았고, 신한은행은 405억 원으로 가장 적었습니다. 신한은행은 지난해보다 예산을 10.4% 줄였고, IT 예산 대비 보안 비중도 9.1%로 최저였습니다. 가장 큰 피해를 입은 곳이 가장 적게 투자한 셈입니다.
중소 금융권의 상황은 더 심각합니다. 4대 은행의 보안 전담 인력이 평균 92명인 반면 저축은행은 평균 6명에 불과합니다. 금융보안원 가입률도 저축은행은 22.8%에 그쳤습니다. 예가람저축은행은 2016년 버전의 구형 데이터베이스를 패치 없이 사용하다 5만 3천여 명의 정보를 유출했습니다.
책임 강화와 남은 과제
금융당국은 대응에 나섰습니다. 555개 금융회사를 점검한 결과 130곳이 보안 체크리스트 미흡으로 보고됐고, 내년부터는 금융사와 전자금융사업자까지 정보보호 공시 의무가 확대됩니다. 다만 현재 자율 공시 내용이 활동 실적 나열에 그쳐 실효성 논란이 있습니다.
국회에서는 전자금융거래법 개정안이 논의 중입니다. CEO를 정보보안 최종 책임자로 명시하고, CISO 독립성을 강화하며, 과징금을 전체 매출액의 3%까지 높이는 내용입니다. 제도 정비와 함께 실질적인 투자 집행이 뒤따라야 한다는 지적이 나옵니다.