▲ 경제부 김연수 기자

금융보안은 더 이상 개별 금융사의 준법 문제가 아니다. 국가가 지켜야 할 금융주권이다. 사고가 날 때마다 CEO 책임과 과태료부터 꺼내는 방식으로는 해커를 막을 수 없다. 지금 필요한 것은 벌보다 금융권 전체를 묶는 국가 방어망이다.

최근 공격은 금융업권의 경계를 가리지 않았다.

은행에서는 신한은행·KB국민은행·하나은행·BNK부산은행이 뚫렸다. 저축은행은 예가람·웰컴·DB·OK저축은행, 여신업권은 현대캐피탈·산은캐피탈, 상호금융은 새마을금고중앙회에서 침해사고가 확인됐다.

온투업체 PFCT와 모우다, 전자금융업체 브라이트픽스, 가상자산업체 스트리미·프라뱅도 이름을 올렸다. 이후 미래에셋생명과 미래에셋자산운용, 대신증권·한양증권, 빗썸 등으로 공격이 번졌다.

금융위원회 집계로 지난 9월30일부터 11월3일까지 37개사에서 40건의 침해사고가 신고됐다. 개인정보 유출은 약 47만3000건이다. 은행 4곳에서 시작된 문제가 증권·보험·저축은행·전자금융·온투·가상자산까지 금융 생태계 전체로 퍼진 것이다.

심각한 상황이다.

그러나 역설도 있다. 제도권 금융에는 로그가 남는다. 침해사고 신고 의무가 있고 금융위·금감원·금융보안원이 뒤를 추적한다. 한 회사에서 발견한 공격 IP를 다른 금융사가 다시 조회하면서 과거 침해 흔적을 뒤늦게 찾아내기도 했다.

사고가 드러난다는 사실 자체가 시스템이 완전히 멈췄다는 뜻은 아니다. 찾아내고 신고하고 복구하는 장치가 있다는 의미이기도 하다.

물론 늦게 발견했다면 그것은 또 다른 문제다. 하지만 사고 건수만 늘어놓으며 금융회사에 벌을 주는 것으로 보안을 강화했다고 생각해서는 안 된다.

공격은 이미 그런 수준을 넘어섰다. 세계 최대 가상자산 거래소인 바이낸스도 지난달 대규모 공격을 받았다. 바이낸스 공식 발표에 따르면 약 63억4000만달러 규모의 디지털자산이 영향을 받았다. 일부 내부 AI 도구와 개발환경까지 공격 경로에 포함됐다.

세계 최대급 플랫폼도 뚫리는 시대다. AI는 공격자가 취약점을 찾는 속도를 높인다. 하나의 취약점을 찾으면 여러 금융회사를 동시에 두드릴 수도 있다. 공통으로 사용하는 클라우드와 소프트웨어의 약점이 금융권 전체로 번질 가능성도 커졌다.

금융보안을 보는 관점부터 바꿔야 한다. 과거 국가주권의 상징 가운데 하나는 화폐를 발행하는 권리였다. 주조권과 발권력은 국가가 가진 핵심 권한이었다.

지금 돈은 지폐보다 계좌와 전산장부, 결제망 속 숫자로 더 많이 존재한다. 국민의 재산도 그 숫자로 기록되고 이동한다.

그렇다면 그 숫자를 지키는 능력 역시 현대 국가의 주권에 가깝다. 은행 전산망이 마비되고 계좌정보의 신뢰가 무너지면 한 금융회사의 영업손실로 끝나지 않는다. 지급결제와 자본시장, 국민의 재산권까지 흔들린다.

그래서 금융당국의 역할도 달라져야 한다. 기본적인 인증과 접근통제를 소홀히 한 금융회사에는 책임을 물어야 한다. 하지만 처벌은 사후조치다. 과태료가 다음 공격을 막아주지는 않는다.

국가가 해야 할 일은 첫 번째 금융사에서 발견한 공격정보를 두 번째 금융사의 방패로 바꾸는 것이다.

신한은행에서 새로운 공격 IP가 발견되면 KB국민은행과 하나은행뿐 아니라 증권사·보험사·저축은행·가상자산거래소의 탐지체계에도 즉시 반영돼야 한다. 한 회사의 사고가 금융권 전체의 백신이 돼야 한다.

대형은행과 중소 금융사의 보안격차도 국가가 메워야 한다. 모든 저축은행이나 온투업체에 대형 시중은행과 같은 보안인력과 예산을 요구하기는 어렵다. 그렇다면 금융보안원의 공동관제와 AI 탐지, 위협정보 분석, 침투테스트를 금융권 공동 인프라로 더 강하게 만들어야 한다.

금융위와 금감원만으로도 부족하다. 금융보안원, 과기정통부, KISA, 경찰과 수사기관까지 하나의 대응체계로 묶어야 한다. 공격자가 금융업권의 칸막이를 가리지 않는다면 국가 방어체계도 칸막이를 고집할 이유가 없다.

사고가 드러나는 것을 두려워해서도 안 된다. 사고를 숨기는 금융시스템보다 찾아내고 공개하고 고치는 시스템이 강하다. 중요한 것은 같은 공격에 두 번 당하지 않는 것이다.

금융회사를 벌주는 것은 필요하다. 하지만 그것이 금융보안 정책의 중심이 돼서는 안 된다.

과거 국가가 화폐를 찍어낼 권리를 지켰다면 디지털 시대에는 돈이 기록되고 움직이는 시스템을 지켜야 한다.

금융보안은 이제 전산부서의 일이 아니다. 국가의 금융주권이다.

토요경제 / 김연수 기자 kys@sateconomy.co.kr 

[저작권자ⓒ 토요경제. 무단전재-재배포 금지]