금융 앱에 대출·결제 등 줄줄이 연결…‘금고’ 노린 해킹 급증

보안 수준이 높다고 인식돼온 금융권에서 침해사고가 잇따르며 기존 방어체계의 한계가 드러나고 있다. 금융 서비스가 사실상 비대면 정보기술(IT) 서비스로 자리 잡으면서 IT 활용 범위가 넓어지는 반면, 외부 협력업체 등 통제가 약한 보안의 빈틈은 넓어지는 상황으로 풀이된다.

특히 인공지능(AI)이라는 막강한 도구의 등장으로 금융권 해킹이 빠르게 늘고 있어, 금융 시스템 전반의 위기로 이어질 수 있다는 경고가 나온다.

28일 업계에 따르면, 공격자들이 금융권을 집요하게 노리는 것은 자금과 민감정보가 집중돼 있기 때문이다.

문제는 금융회사가 지켜야 할 영역이 갈수록 넓어진다는 점이다. 금융 앱 하나에도 본인확인과 계좌조회, 대출·결제 등 여러 시스템이 맞물려 있다. 외부 서비스를 연결할수록 관리가 덜 미치는 주변부가 늘어 공격자의 통로가 된다.

실제 KB국민은행은 직원용 업무지원 시스템, 하나은행은 영업지원 시스템을 통해 정보가 유출됐다. 미래에셋생명은 인증 없이 조회가 가능했던 외부 접점이 뚫렸다.

금융위원회가 금융회사 555곳에 맡긴 자체 점검에서 130곳이 패치 누락, 인증·접근통제 취약 같은 기본 관리의 허점을 보고했다. 취약점 점검이 연 1회에 그치는 구조라 평소에는 보이지 않던 문제가 수면 위로 드러난 것이다.

통제가 미치기 어려운 협력업체도 해킹의 ‘약한 고리’가 될 수 있다. 지난해 9월 랜섬웨어 조직 ‘킬린’이 국내 IT 관리업체 한 곳을 침해한 뒤 금융기관 30여곳을 공격해 자료를 탈취한 경우가 대표적이다. 블랙카이트가 금융권 주요 협력업체 140곳을 조사한 결과 76곳(54%)에서 실제 공격에 악용된 취약점이 확인됐다.

빈틈을 찾아 뚫는 데 드는 시간은 AI 덕분에 크게 줄고 있다. 구글 위협정보그룹은 지난달 공격자가 AI 에이전트로 취약점 스캔과 오류 해결, IP 변경까지 자동화해 6시간도 안 되는 시간에 수천개의 제3자 계정정보를 탈취한 사례를 공개했다.

여기에 업무에 도입된 AI까지 공격 통로가 되는 등 수단이 고도화되고 있다는 점도 문제다.

팔로알토네트웍스는 지난 3월 웹페이지에 악성 명령을 몰래 심어 AI를 속이는 공격(프롬프트 인젝션)을 포착했다. AI가 이를 정상 지시로 알고 따르기 때문에, 자료 조회나 e메일 발송 권한이 있는 AI라면 내부 정보가 새나갈 수 있다.

임종인 고려대 정보보호대학원 명예교수는 “금융권 전반에서 해킹이 잇따라 터져나온 것은 특정 기업의 문제가 아니다”라며 “기업만 처벌하고 넘어가는 ‘땜질식 처방’이 아니라 정부 주도로 중소금융업체와 협력업체를 포괄하는 ‘보안 생태계’를 만들어야 한다”고 말했다.