금융권 해킹 37개사 확산, GA도 보안규제 대상 추진

금융위원회는 11월 5일 금감원·금융보안원·전 금융권 협회장이 참석한 간담회를 열고, 최근 이어진 금융권 해킹 사고에 대응해 보안관리 체계를 전면 개편하겠다고 밝혔다. 금융위 집계에 따르면 9월 30일 첫 침해사고가 확인된 뒤 11월 3일까지 37개 금융회사에서 모두 40건의 사고가 신고됐다. 업권별로는 전자금융업이 10개사로 가장 많았고, 보험사와 가상자산사업자는 각각 3곳이었다. 10월 14일 전 금융권 보안 체크리스트 점검이 끝난 뒤에도 중소형 보험사와 증권사를 중심으로 사고가 계속됐다.

유출된 정보는 약 47만3천건으로, 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등이 포함됐다. 계좌 비밀번호처럼 부정결제에 바로 쓰일 수 있는 정보의 유출은 아직 확인되지 않았다. 소규모 가상자산거래소, 전자금융업자, 온투업자에서는 약 10억원의 자금이 탈취됐으나 개별 이용자의 직접 손실은 아직 나타나지 않은 것으로 파악됐다.

당국은 보험사를 포함한 약 580개사를 대상으로 외부접점과 내부통제 운영 실태를 전수점검한다. 공격이 핵심 전산망보다 관리가 허술한 주변부 시스템에 몰렸다는 판단에서다. 관리대장에 등록된 시스템은 11월 말까지, 미등록 시스템과 내부통제체계는 연말까지 점검한다. 보험업계에서 특히 눈에 띄는 대목은 GA다. 2027년 1분기 발의를 추진하는 '디지털금융 안전법'에 GA 등에 전자금융거래법에 준하는 보안규율을 적용하는 방안을 담겠다는 것이다. GA가 직접 전자금융거래를 하지 않아도 모집 과정에서 고객의 개인정보와 금융정보를 다루기 때문이라는 논리다.

경영진 책임도 강화된다. 이억원 위원장은 위험을 알고도 방치하거나 형식적으로 점검한 경우 CEO를 포함한 경영진에게 책임을 묻겠다고 했다. 총자산 2조원 이상이면서 종업원 300명 이상인 금융회사부터 취약점 분석·평가 주기를 연 1회에서 2회로 늘리고, 2028년부터 중소형사로 확대한다. 중대한 취약점을 방치하면 시정명령과 이행강제금을 추진하되, 이번 점검에서 스스로 찾아 바로 고친 경우는 유연하게 처리한다는 방침이다. 이 밖에 FIRST를 통한 위협정보 공유(12월 시범, 2027년 1분기 전 금융권 확대), 보이스피싱 '의심거래 판단지수' 11월 시범 도입, 피해금 일부를 금융회사가 보상하는 무과실책임 제도 추진도 포함됐다.