1차 망분리 규제 완화 대상 금융사 10곳 중 2곳 해킹피해 입어
금융위, 7일 발표 예정이던 2차 망분리 규제완화 금융사 선정 미뤄
전문가들, 망분리 규제 완화 필요하지만 정책 지속적 보완 필요성 강조

국내 다수의 금융사가 해킹 피해를 당하는 사고가 일어나면서 금융당국이 추진했던 망분리(외부망 차단) 규제 완화 정책의 변수로 작용할 전망이다. 

특히 이번 피해사 중에는 1차 망분리 규제 완화 대상 금융사가 일부 포함되면서, 보안을 위해 망분리 정책을 유지해야 한다는 주장까지 나오고 있다. 

7일 금융당국에 따르면 금융위원회는 당초 이날 예정이었던 2차 망분리 규제 긴급완화 대상 금융회사 선정을 연기했다.

망분리는 금융사 내부 업무망과 외부 인터넷망을 물리적으로 분리, 외부 침입과 정보유출을 차단하도록 하는 규제로 지난 2013년 도입됐다. 망분리는 외부 사이버 공격이 가해질 경우에는 내부 시스템을 보호할 수 있는 장점이 있다.

규제 완화 역시 금융사의 보안 취약점을 보완하기 위한 조치로 시행됐다. AI 기능이 빠르게 발달하면서 기존의 망분리 체제 하에서는 ‘미토스’ 등 고성능 AI를 악용한 해킹 우려가 확산된 것이다. 또 금융사가 자체적으로 외부 고성능 AI를 활용해 내부 시스템의 취약점을 사전 점검하는 데도 한계가 있다는 것이다.

당국이 실시한 1차 테스트에 따르면 프런티어 AI(최신 기술이 적용된 초거대 AI 모델)가 수 시간 안에 적게는 수백만에서 많게는 수천만줄에 달하는 소스코드를 분석하는 데 성공하는 등 보다 빠르고 정확한 강점 탐색 효과를 보인 것으로 나타났다. 

이에 당국은 금융사가 외부 고성능 AI를 보안 목적으로 활용할 수 있도록 망분리 규제를 완화하는 정책을 추진해 왔다.

그 일환으로 지난 6월 1차 망분리 규제 완화 대상 금융사 10곳을 선정했다. 해당 금융사는 △신한은행 △하나은행 △우리은행 △카카오뱅크 △KB증권 △NH투자증권 △미래에셋증권 △삼성화재 △한화생명 △현대카드 10개사다.

금융위는 당초 2차 망분리 규제 완화 대상 금융사 규모를 기존 10개사에서 15개사로 확대할 예정이었다.

문제는 이달 발생한 해킹 사고에 1차 망분리 규제 완화 대상 금융사가 일부 포함된 것이다.

이 중 우리은행은 해킹 시도에도 정보유출 피해를 막았으나 나머지 2곳은 피해를 입었다. 신한은행은 약 2만5000명에 달하는 고객 정보가 유출됐으며 하나은행도 89명의 고객 정보가 유출됐다고 밝혔다.

금융당국은 1차 망분리 규제 완화 테스트 대상 금융사는 타사 대비 상대적으로 높은 보안 역량을 갖춘 금융사로 엄선됐다고 밝혔다. 하지만 이번 해킹 사고의 피해를 입으면서 선정 기준에 대한 논란 여지도 남게 됐다.

금융권 일각에서는 현재의 망분리 체계가 사이버 공격으로부터 내부 시스템을 지키는 수단이 될 수도 있다는 주장도 있다. 망분리 규제 완화보다 이번 공격에서 취약점이 드러난 보안 사각지대를 강화하는 데 먼저 주력해야 한다는 지적도 나온다.

금융보안 전문가들은 단순히 망분리 규제 완화 대상 금융사를 늘리는 것뿐만 아니라, 위험성도 감안하는 등 제도의 지속적인 보완이 필요하다고 지적한다.

홍지연 자본시장연구원 선임연구원은 “해외 주요 금융당국도 금융사의 AI 활용을 사전에 제한하기보다 실제 활용 과정에서 나타나는 위험과 규제상 불확실성을 파악하고, 이를 감독 및 위험관리 체계에 반영하는 방향으로 접근하고 있다”며 “국내에서도 혁신금융서비스 지정 건수뿐 아니라 실증 과정에서 축적된 위험과 대응 경험을 후속 제도 개선에 반영하는 것을 고려해야 한다”고 제언했다.

서병호 한국금융연구원 선임연구위원은 “AI 에이전트의 고도화로 매우 적은 비용으로 상대의 취약점을 단기간에 분석, 지속적으로 공격할 수 있다”며 “국내 오픈뱅킹과 마이데이터는 단일 API 인프라로 연결돼 있어 하나의 금융사나 핀테크가 침해되면 다른 금융사 계좌도 위험해질 수 있어 이상징후 탐지 시 자동으로 해당 이용기관의 접근토큰을 임시 폐기하는 등 동태적 위험관리 체계 구축이 필요하다”고 언급했다.

한편, 금융위는 아직까지 망분리 규제 완화 기조 자체는 유지한다는 방침이다. 이억원 금융위원장은 해킹 피해가 알려진 직후인 지난 4일 긴급점검회의에서 “새로운 유형의 빈도 높은 사이버 공격이 앞으로도 이어질 수 있는 만큼, AI공격은 AI로 방어하는 보안체계 마련도 서둘러 나가야 한다”고 언급했다.

[CEO스코어데일리 / 박예슬 기자 / ruthy@ceoscore.co.kr]