AI 추천 뉴스 [단독] 4300만건 공격 쏟아지는데…금융사 보안책임자는 '3중 겸직' AI 해킹의 습격 (4) AI 해킹은 나날이 진화…허술한 韓 보안은 제자리 하루에만 15만건 금융권 해킹시도 AI해킹범 中광둥성 26세 추정 (4) AI 해킹은 나날이 진화…허술한 韓 보안은 제자리 하루에만 15만건 금융권 해킹시도 AI해킹범 中광둥성 26세 추정 올해 국내 금융권을 겨냥한 해킹이 지난해보다 30% 이상 늘어 하루평균 15만 건의 해킹 시도가 있었던 것으로 나타났다. 8일 금융보안원이 박성훈 국민의힘 의원에게 제출한 자료에 따르면 올 들어 3분기까지 국내 금융회사를 대상으로 한 해킹 시도는 4299만 건으로 집계됐다. 지난해 같은 기간(3262만 건)보다 31.8% 증가했다. 하루평균 15만 건 수준이다. 인공지능(AI)이 확산한 것이 해킹 공격이 급증한 핵심 요인으로 꼽힌다. AI가 하루 만에 공격 대상의 취약점을 찾아내 해킹까지 실행할 수 있어 개인도 대규모 해킹 공격을 할 수 있다는 게 보안 전문가들의 설명이다. 지난 1일 발생한 국내 금융권 해킹 사태의 배후로 추정되는 인물의 단서도 포착됐다. 글로벌 보안기업 크라우드스트라이크는 이번 해킹 공격자가 중국 광둥성에 사는 26세 인물일 가능성이 있다고 밝혔다. 이 업체는 확보한 정보만으로는 공격자 신원을 특정할 수 없다고 덧붙였다. 공격자로 지목된 텔레그램 계정 사용자는 “실제 공격자는 따로 있다”고 주장한 것으로 알려졌다. 銀·보험·카드사 전업 CISO 없어…2차 피해 차단할 장치도 미흡 인공지능(AI) 확산으로 해킹 공격이 진화하고 있다. 기술 장벽이 낮아지면서 해킹 횟수는 늘고 공격 속도는 빨라지는 추세다. 이에 비해 국내 금융권 보안 인력과 법규는 수십년째 그대로여서 급변하는 환경에 뒤처지고 있다는 지적이 나온다. AI 기술을 이용하면서 해킹 소요 시간이 짧아진 영향으로 전문가들은 분석한다. 보안 업체 포티넷의 산하 기관인 포티가드랩스에 따르면 보안 취약점을 찾아 최초 공격 시도까지 걸리는 시간은 2024년 4.76일에서 지난해 1~2일로 크게 단축됐다. 공격 방식도 방어하기 까다로워지고 있다. 과거엔 악성코드, 디도스(DDoS)처럼 시스템을 마비시키는 공격이 주류였다. 최근에는 대출모집인 이용망 등 금융회사에 연결된 외부 시스템의 ‘약한 고리’를 파고들고 있다. 이번 해킹도 같은 방식이다. 중국 광둥성에 거주하는 26세 공격자는 중국산 오픈소스 ‘아르텍스’에 중국 AI 모델 ‘딥시크’를 결합해 사용한 것으로 알려졌다. 동일 공격자가 인터넷주소(IP)를 바꿔가는 수법으로 여러 금융사를 공격하는 데 활용됐다. 2차 피해를 막는 장치도 허술하다. 통상 개인정보가 유출되면 유출 피해자는 금감원의 ‘개인정보노출자 사고예방시스템’에 관련 정보를 등록할 수 있다. 추후 발생할 수 있는 명의도용 거래를 걸러내려는 취지다. 그러나 실시간으로 정보를 받을 수 있는 곳은 은행·증권·보험·카드·저축은행뿐이다. 주요 캐피털사와 대부업체, 우체국 등은 실시간으로 관련 정보를 공유할 수 없다는 얘기다. 금융당국은 보안 법규의 허점을 보완하기 위해 금융사의 해킹 침해 보고 시간을 단축하는 방안을 추진한다. AI가 24시간 취약점을 탐색하고 공격을 자동화하는 시대에도 금융권 보안 규제는 정기 점검과 사후 보고에 무게를 두고 있다는 지적이 나오면서다. 금융위원회는 해킹 사고 발생 시 금융사가 금융위에 24시간 안에 보고하도록 한 전자금융감독규정을 손질하는 방안을 검토 중이다. 이 규정상 금융회사와 전자금융업자가 침해 사고가 발생했을 때 ‘지체 없이’ 사고 내용과 사고 영향을 금융위에 보고해야 하고, 정당한 사유가 없으면 보고는 24시간을 넘길 수 없다. 금융위는 앞서 금융회사의 보안 취약점 점검 주기를 단축하고 점검 대상을 확대하는 방침도 밝혔다. 금융위는 연 1회인 점검 주기를 연 2회 이상으로 늘리고, 기존 점검 대상에서 빠졌던 외부 업무시스템까지 관리 범위를 확대하는 방안을 검토하고 있다. 금융당국이 뒤늦게 규제 정비에 나서겠다는 방침을 밝혔지만, 해킹 사고가 잇따른 뒤에야 기존 보안체계의 허점을 손보기 시작했다는 점에서 ‘뒷북 대응’이라는 비판도 나온다. 장현주/이영애/박시온/오유림 기자 [email protected] 8일 금융보안원이 박성훈 국민의힘 의원에게 제출한 자료에 따르면 올 들어 3분기까지 국내 금융회사를 대상으로 한 해킹 시도는 4299만 건으로 집계됐다. 지난해 같은 기간(3262만 건)보다 31.8% 증가했다. 하루평균 15만 건 수준이다. 인공지능(AI)이 확산한 것이 해킹 공격이 급증한 핵심 요인으로 꼽힌다. AI가 하루 만에 공격 대상의 취약점을 찾아내 해킹까지 실행할 수 있어 개인도 대규모 해킹 공격을 할 수 있다는 게 보안 전문가들의 설명이다. 지난 1일 발생한 국내 금융권 해킹 사태의 배후로 추정되는 인물의 단서도 포착됐다. 글로벌 보안기업 크라우드스트라이크는 이번 해킹 공격자가 중국 광둥성에 사는 26세 인물일 가능성이 있다고 밝혔다. 이 업체는 확보한 정보만으로는 공격자 신원을 특정할 수 없다고 덧붙였다. 공격자로 지목된 텔레그램 계정 사용자는 “실제 공격자는 따로 있다”고 주장한 것으로 알려졌다. 銀·보험·카드사 전업 CISO 없어…2차 피해 차단할 장치도 미흡 금융위, 보안점검 대상 확대와 보고시한 24시간서 단축 검토 인공지능(AI) 확산으로 해킹 공격이 진화하고 있다. 기술 장벽이 낮아지면서 해킹 횟수는 늘고 공격 속도는 빨라지는 추세다. 이에 비해 국내 금융권 보안 인력과 법규는 수십년째 그대로여서 급변하는 환경에 뒤처지고 있다는 지적이 나온다.◇ 월 500만건 해킹 공격받는 금융권 8일 박성훈 국민의힘 의원실에 따르면 올 들어 9월 말까지 국내 금융회사를 대상으로 한 해킹 시도는 4299만 건으로 집계됐다. 9개월 만에 지난해(4472만 건) 수준에 육박한 것이다.AI 기술을 이용하면서 해킹 소요 시간이 짧아진 영향으로 전문가들은 분석한다. 보안 업체 포티넷의 산하 기관인 포티가드랩스에 따르면 보안 취약점을 찾아 최초 공격 시도까지 걸리는 시간은 2024년 4.76일에서 지난해 1~2일로 크게 단축됐다. 공격 방식도 방어하기 까다로워지고 있다. 과거엔 악성코드, 디도스(DDoS)처럼 시스템을 마비시키는 공격이 주류였다. 최근에는 대출모집인 이용망 등 금융회사에 연결된 외부 시스템의 ‘약한 고리’를 파고들고 있다. 이번 해킹도 같은 방식이다. 중국 광둥성에 거주하는 26세 공격자는 중국산 오픈소스 ‘아르텍스’에 중국 AI 모델 ‘딥시크’를 결합해 사용한 것으로 알려졌다. 동일 공격자가 인터넷주소(IP)를 바꿔가는 수법으로 여러 금융사를 공격하는 데 활용됐다. ◇ 뒷북 대응에 나선 금융당국 금융회사의 보안 시스템은 고도화하는 AI 해킹에 대응하지 못하고 있다. 정보보안을 총괄하는 최고정보보호책임자(CISO) 전문성이 보장되지 않는 게 대표적인 사례다. 현재 은행과 카드사, 대형 보험사 가운데 전업 CISO를 둔 곳은 한 곳도 없다. 대부분 CISO가 개인정보보호책임자(CPO), 신용정보관리보호인(CIAP)을 함께 맡는 구조다.2차 피해를 막는 장치도 허술하다. 통상 개인정보가 유출되면 유출 피해자는 금감원의 ‘개인정보노출자 사고예방시스템’에 관련 정보를 등록할 수 있다. 추후 발생할 수 있는 명의도용 거래를 걸러내려는 취지다. 그러나 실시간으로 정보를 받을 수 있는 곳은 은행·증권·보험·카드·저축은행뿐이다. 주요 캐피털사와 대부업체, 우체국 등은 실시간으로 관련 정보를 공유할 수 없다는 얘기다. 금융당국은 보안 법규의 허점을 보완하기 위해 금융사의 해킹 침해 보고 시간을 단축하는 방안을 추진한다. AI가 24시간 취약점을 탐색하고 공격을 자동화하는 시대에도 금융권 보안 규제는 정기 점검과 사후 보고에 무게를 두고 있다는 지적이 나오면서다. 금융위원회는 해킹 사고 발생 시 금융사가 금융위에 24시간 안에 보고하도록 한 전자금융감독규정을 손질하는 방안을 검토 중이다. 이 규정상 금융회사와 전자금융업자가 침해 사고가 발생했을 때 ‘지체 없이’ 사고 내용과 사고 영향을 금융위에 보고해야 하고, 정당한 사유가 없으면 보고는 24시간을 넘길 수 없다. 금융위는 앞서 금융회사의 보안 취약점 점검 주기를 단축하고 점검 대상을 확대하는 방침도 밝혔다. 금융위는 연 1회인 점검 주기를 연 2회 이상으로 늘리고, 기존 점검 대상에서 빠졌던 외부 업무시스템까지 관리 범위를 확대하는 방안을 검토하고 있다. 금융당국이 뒤늦게 규제 정비에 나서겠다는 방침을 밝혔지만, 해킹 사고가 잇따른 뒤에야 기존 보안체계의 허점을 손보기 시작했다는 점에서 ‘뒷북 대응’이라는 비판도 나온다. 장현주/이영애/박시온/오유림 기자 [email protected]