금보원장 “높은 보안 수준 유지 못해 송구” 해킹에 사과

[헤럴드경제=김서현 기자] 박상원 금융보안원장이 금융보안원 자체 시스템 해킹 사고에 대해 공개적으로 사과했다.

박 원장은 12일 서울 영등포구 여의도 콘래드호텔에서 열린 ‘금융정보보호 컨퍼런스(FISCON 2026)’ 개회사에서 “금융보안 전문기관으로서 높은 수준의 보안을 유지해야 함에도 이번 사고가 발생한 데 송구스럽게 생각한다”고 밝혔다. 이어 추가 유출 여부와 사고 원인을 규명하고 전체 시스템을 전수 점검해 재발 방지 대책을 마련하겠다고 약속했다.

금융보안원은 지난 9일 금융회사들이 평가 자료를 제출하는 ‘정보보호 상시평가 사이트’에서 비정상적인 접근을 감지하고 서비스를 차단했다. 현재까지 금융회사 48곳의 파일 130여개가 유출된 것으로 추정된다. 금융당국은 현장 점검을 진행 중이며 경찰도 공격에 사용된 인터넷주소(IP) 추적에 나섰다.

금융보안원 내부에서도 AI로 빨라진 해킹 공격에 대응하기 어려웠다는 설명이 나왔다. 이진호 금융보안원 RED IRIS 2팀장은 이날 기자의 질문에 “AI 공격 속도가 빨라져 이번 사고에서도 막기 어려웠던 부분이 있었다”고 답했다.

실제 AI를 활용한 해킹은 국내 금융권에서 이미 현실화하고 있다. 지난 9월부터 10월까지 국내 금융사 여러 곳이 AI를 활용한 해킹 공격을 받았다. 유재욱 금융보안원 RED IRIS팀 수석은 “공격자들이 자동화 해킹 도구인 ‘아르텍스(ARTEX)’에 딥시크 등 여러 언어모델을 결합해 금융회사 업무시스템에 침투했다”고 설명했다.

유 수석은 “예전에는 사람이 코드를 읽다가 막히면 AI에 물어보고 직접 실행했지만 지금은 AI가 실행 결과를 읽고 다음 작업까지 이어서 진행한다”며 “한 번 실패해도 원인을 보고 조건을 바꿔 바로 다시 시도한다”고 설명했다.

특히 아르텍스의 강점은 공격 과정에서 얻은 정보를 체계적으로 관리하는 데 있다는 분석이다. 이 팀장은 “아르텍스가 취약점을 잘 찾는 이유는 여러 가지가 있겠지만 컨텍스트를 잘 관리하고 활용하기 때문이라고 생각한다”고 말했다. 웹페이지와 접속 경로, 공격 시도 결과 등을 연결해 기록하고 이를 다음 공격에 활용하는 방식이다.

AI 확산으로 공격과 방어의 속도 격차도 벌어지고 있다. 유 수석이 소개한 외부 실험에서는 AI가 공개된 보안패치를 분석해 취약점을 재현하는 시험용 코드를 만드는 데 약 12분이 걸렸다. 반면 기업·기관의 취약점 조치 완료 기간 중앙값은 43일에 달했다. 유 수석은 “공격 준비는 분 단위로 줄고 있는데 보호 적용은 여전히 주 단위로 움직이고 있다”며 서버 한 대가 뚫려도 중요 데이터까지 접근하지 못하도록 다층 방어체계를 구축해야 한다고 강조했다.

이에 금융보안원은 AI를 활용한 보안 점검을 확대하고 있다고 설명했다. 올해 5~7월 약 6주간 16개 금융회사를 대상으로 실시한 침투 테스트에서는 전체 취약점 94건 중 36.2%인 34건을 AI가 발견하는 데 기여했다. 다만 AI가 제시한 취약점 후보 301건 중 전문가 검증을 통과한 것은 11.3%인 34건에 그쳤다. 이 팀장은 “오탐률이 높아 검토 부담이 있었다”며 “실제로 재현할 수 없는 공격 경로를 제시하는 한계도 확인됐다”고 말했다.

이에 금융보안원은 자체 개발한 AI 점검 기술을 개선하는 동시에 아르텍스 등 외부 침투 테스트 도구를 연동하는 통합체계를 개발하고 있다. 새로운 도구가 등장하면 별도의 개발 과정을 거치지 않고 기존 시스템에 연결해 활용할 수 있도록 하는 구상이다. 금융권 보안 점검에서 축적한 취약점 정보를 데이터베이스로 구축해 AI의 진단 정확도를 높이는 방안도 추진한다.

이 팀장은 “외부에서 뛰어난 성능의 도구가 등장하면 자체 기술을 개발하는 동안 격차가 발생한다”며 “공격자보다 먼저 취약점을 발견할 수 있도록 대응 역량을 높여야 한다”고 밝혔다.

美 ‘빅스텝’ 거론까지…‘AI 리스크’에도 한은 금리 올리나 [머니뭐니]

https://biz.heraldcorp.com/article/10933097

Google News 에서 헤럴드경제 팔로우