12일 금융보안원의 연례 최대 행사인 금융정보보호 컨퍼런스 ‘FISCON 2026’은 박상원 원장의 ‘사과의 말씀’으로 시작했다. 금융회사들의 개인신용정보 관리 실태를 평가하기 위해 운영하는 온라인 시스템에서 침해 사고가 발생한 탓이다. 사고가 없었다면 지난 9월부터 이어진 금융권 연쇄 해킹을 수습해온 금융보안원이 전 금융권에 보안 강화를 주문했겠지만, 이제는 자체 보안체계부터 재정비해야 하는 처지가 된 것이다.
행사 분위기도 예년과 달랐다. 축사 등 VIP 행사와 시상식이 생략됐고, 국회의원이나 금융위원회 고위 공무원, 금융권 최고경영자(CEO)의 모습도 보이지 않았다. 지난해 유동수 정무위원장, 이억원 금융위원장이 모두 참석한 것과 대비된다. 이날 오전 당정 협의회가 있었다는 점을 감안해도 위신이 깎인 것이다. 금융보안원이 ‘금융권 사이버 위협 대응’의 구심점 역할을 계속하려면 상당한 신뢰 회복이 필요하다는 점을 단편적으로 보여줬다.
|
금융보안원에 따르면 지난 9일 ‘상시평가 시스템’이 해킹당해 금융회사 48곳이 제출한 파일 130여개가 유출됐다. 유출 정보는 행정서식이 대부분으로 금융회사 시스템 구성도 등 보안 정보와 주민등록번호, 개인신용정보 등의 민감정보는 유출되지 않았다는 게 금융보안원의 설명이다.
금융보안원의 설명에도 금융사들은 여전히 불안해하고 있다. 상시평가 시스템은 금융사들이 개인신용정보 보호 실태를 자체 점검한 결과를 제출하는 창구다. 시스템에 업로드한 자료가 공격자 손에 들어가면 손쉬운 ‘침투 경로’를 알려주는 꼴이 돼 심각한 2차 피해가 발생할 수도 있어서다.
금융보안원이 민감정보는 유출되지 않았다고만 설명할 것이 아니라, 그렇게 판단한 근거와 공격자가 접근할 수 있었던 범위 등을 구체적으로 알려야 하는 이유다.
지난 2024년 1월 미국 국토안보부 산하 사이버안보·인프라보안국(CISA)의 침해 사고 대응 방법은 참고할 만하다. 침해 사고는 화학시설들이 보안 취약성 평가서와 시설 보안계획, 출입 인력의 개인정보 등을 제출하는 ‘화학시설 보안평가 시스템(CSAT)’에서 발생했다. 보안 업무를 맡은 기관이 기업이 제출자료를 탈취 당했다는 점에서 금융보안원 사고와 닮았다.
미 국토안보부는 그해 3월, 실제 유출 증거가 확인되지 않았더라도 개인정보가 담긴 시스템이 침해된 데 따른 잠재적 위험을 고려해 ‘중대 사고’로 분류하고 의회에 보고했다. CISA는 6월 관련 기업 등에 조사 결과와 잠재적 영향을 알렸다. 정보 유출이 입증되지 않은 상황에서도 잠재적 위험까지 고려해 엄중하게 대응한 것이다.
금융회사의 보안 취약점을 점검하고 사고 대응을 지원하는 기관이 정작 금융사들이 믿고 맡긴 자료를 지키지 못했다는 점에서 사안의 심각성이 남다르다는 데는 이견이 있을 수 없다. 금융보안원은 사고 원인과 피해 범위를 철저히 규명하고 그 결과를 투명하게 공개해야 한다. 확인된 사실과 아직 규명하지 못한 부분을 구분해 설명하고, 추가로 드러나는 위험과 필요한 예방 조치를 신속하게 알려야 한다. 금융권에 보안 역량 강화를 주문해온 금융보안원이 사고 수습 과정에서도 그 기준을 보여줘야 할 때다.
