AI 해킹 잇따르는데…금융권 보안 강화법 10개월째 국회 계류

[헤럴드경제=유혜림 기자] 금융권에서 인공지능(AI) 도구를 활용한 해킹 사고가 잇따르는 가운데 정보보호 투자를 강화하기 위한 법 개정 논의는 10개월 넘게 국회에 계류 중이다. AI를 활용한 해킹 위험이 현실화하면서 금융사 경영진의 책임을 강화하고 보안 투자를 유도하기 위한 입법 논의에도 속도가 붙을 전망이다.

6일 금융권과 금융당국에 따르면, 유동수 더불어민주당 의원은 지난해 롯데카드 등에서 대규모 해킹 사고가 발생하자 같은 해 11월 말 전자금융거래법 개정안을 발의했다. 그러나 지난 3월 국회 정무위원회에 상정돼 소위원회로 회부된 이후 한 차례도 논의되지 않았다.

개정안은 최고경영자(CEO)의 책임을 명확히 하고 정보보호최고책임자(CISO)의 권한을 강화하는 내용을 담고 있다.

침해사고로 거래정보나 개인신용정보가 유출되면 총매출액의 3% 이하 과징금을 부과하고, 정보보호 공시도 도입하도록 했다. 취약점 분석·평가에 따른 보완 조치 이행계획을 지키지 않을 경우에는 5000만원 이하의 이행강제금을 부과하도록 했다.

그동안 다른 현안에 밀려 논의가 지연됐지만, 금융권 전반으로 해킹 사고가 번지고 AI를 활용한 무작위 공격 가능성까지 커지면서 입법 논의에 속도가 붙을 수 있다는 전망이 나온다.

지난 9월 말부터 이어진 해킹 사고는 AI 자체의 고도화보다 금융사의 보안 관리 미흡이 피해를 키웠다는 분석에서다.

핵심 내부 시스템은 비교적 철저히 관리했지만, 대출모집인용 조회 서비스와 임직원용 업무 시스템 등 외부에 노출된 부가 시스템은 관리가 느슨해 주요 공격 대상이 됐다는 것이다.

앞서 금융당국과 금융보안원도 지난 7월 ‘AI 보안위협 금융분야 대응요령’ 가이드라인에서 이번 해킹 사고 위험에 미리 대비할 것을 주문했지만 현장에 정착되지 않았다.

당시 당국은 “AI는 금융회사의 공격 표면을 빠르게 탐색할 수 있으므로 금융회사는 보유한 전산 자원·공급망을 정확히 식별·관리하는 것이 중요하다”고 강조한 바 있다.

구체적으로 인터넷 노출 여부와 업무 중요도, 데이터 민감도, 패치 상태 등을 기준으로 전산 자원을 구분해 종합 관리하도록 했다.

보안 목적의 AI 활용 과정에서 취약점 발견이나 보안 패치 중 발생한 경미한 전산사고에 대해서는 면책 조치도 내놓았다. 이사회와 CEO의 적극적인 대응과 함께 CISO에게 예산편성권과 인력 운영 권한을 부여할 것도 권장했다.

한편, 금융당국은 이날까지 은행·카드업권의 침해사고 긴급 점검 결과를 보고받는다. 증권·보험·카드·전자금융업자 등은 8일까지 점검을 완료해야 한다.

전날 오후까지 침해사고가 확인된 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사와 온라인투자연계금융업(온투업) 2개사 외에 추가 신고는 없는 것으로 파악됐다.

은행·인터넷은행·증권·보험·저축은행 등에서도 해킹 시도가 있었지만 대부분 방어에 성공한 것으로 알려졌다.

카드·보험·저축은행업권 등은 연휴에도 긴급 점검을 이어가며 대비 태세를 유지하고 있다. 침해사고가 발생한 온투업계는 이날 금융당국에 체크리스트 점검 현황과 사후 조치, 대응 방안 등을 보고할 방침이다.

금융당국은 점검 결과를 바탕으로 취약점을 확인하고 보완하되, 동일한 유형의 사고가 반복될 경우 엄중히 조치할 계획이다.