[서울=뉴시스]김민수 기자 = 금융권을 겨냥한 인공지능(AI) 기반 해킹 위협이 현실화하면서 금융당국이 추진해온 AI 기반 방어체계 전환에도 속도가 붙을 전망이다. 'AI 해킹은 AI로 막는다'는 기본 원칙 아래 보안 목적의 망분리 규제 완화를 확대할 예정이다.

다만 기존 규제 완화 대상 금융회사들도 최근 해킹 공격을 피하지 못하면서 AI 활용 확대와 함께 보안 안전장치를 더욱 강화해야 한다는 지적도 나온다.

5일 금융권에 따르면 금융위원회는 전날 정부서울청사에서 금융감독원과 금융보안원, 전 금융업권별 협회, 주요 금융회사 등과 '최근 침해위협 대응 전금융권 긴급 점검회의'를 열고 최근 금융권에서 잇따른 해킹 사고에 대한 대응방안을 논의했다.

이번 회의는 최근 은행권을 넘어 금융권 전반에서 해킹에 따른 정보유출 사고가 잇따라 발생한 데 따른 것이다. 신한·KB국민·하나·BNK부산은행 등 주요 은행에 이어 예가람·웰컴저축은행과 현대캐피탈 등 2금융권에서도 외부 사이버 공격에 따른 정보유출 사고가 확인됐다.

특히 최근 공격에서는 일부 금융회사에서 동일한 공격자 인터넷주소(IP)가 발견되는 등 AI를 활용한 대량·자동화 공격 가능성도 제기됐다.

이억원 금융위원장도 전날 회의에서 AI를 활용한 새로운 형태의 공격에 대응하기 위해 금융권의 보안체계 전환을 주문했다.

이 위원장은 "AI 발전속도에 따라 새로운 패턴으로, 예상치 못한 취약점을 파고드는 해킹 수법이 빠르게 확산되고 있다"며 "정부가 AI 보안체계 전환을 위해 망분리 규제 완화 등 제도개선을 추진 중인 만큼 금융권도 AI공격은 AI로 방어하는 보안체계를 서둘러 마련해야 한다"고 당부했다.

이번 금융권 해킹 사태를 계기로 금융사들이 AI 기반 보안체계 전환에 보다 속도를 내줄 것을 주문한 것으로, 금융당국은 보안 목적의 AI 활용을 위한 망분리 규제 완화를 확대하고 있다.

망분리는 금융회사의 내부 업무망과 외부 인터넷망을 물리적으로 분리해 외부 침입이나 정보유출을 차단하는 보안 규제다. 외부 사이버 공격으로부터 내부 시스템을 보호하는 데 효과가 있지만, 외부의 고성능 AI를 활용해 내부 시스템의 취약점을 점검하는 데는 제약으로 작용해왔다.

이에 금융위는 AI를 활용한 사이버 공격에 대응하기 위해 보안 목적으로 외부 고성능 AI를 활용하는 경우 망분리 규제를 예외적으로 완화하는 방안을 추진하고 있다. 외부 AI를 활용해 금융회사 내부의 대규모 소스코드를 분석하고 사람이 찾아내기 어려운 보안 취약점을 선제적으로 탐지하도록 하겠다는 취지다.

금융위는 지난 6월 1차로 10개 금융회사를 선정해 고성능 AI를 활용한 보안 테스트에 착수했다. 신한·하나·우리은행과 카카오뱅크 등이 1차 대상에 포함됐다.

1차 테스트에서는 고성능 AI를 활용한 취약점 탐지의 효과도 확인됐다. 고성능 AI가 방대한 규모의 소스코드를 단시간에 분석하고 기존 취약점을 넓은 범위에서 일관되게 탐색하는 등 광범위하고 신속한 취약점 탐색 가능성을 확인했다는 것이 금융당국의 평가다.

오는 7일에는 2차 규제 완화 대상이 선정된다. 2차에서는 신청 가능 대상을 기존 49개사에서 중소 금융회사와 전자금융업자 등을 포함한 75개사로 확대하고, 선정 규모도 1차 10개사에서 최대 15개사로 늘릴 예정이다.

다만 1차 망분리 규제 완화 대상으로 선정된 금융회사들도 최근 잇따른 해킹 공격을 피하지는 못했다.

1차 대상에 포함된 신한은행에서는 최근 외부 해킹으로 고객 약 2만5000명의 개인·신용정보가 유출됐으며 하나은행에서도 고객 89명의 개인정보가 빠져나갔다. 우리은행 역시 최근 해킹 공격을 받았지만 이번 공격에 따른 정보유출 피해는 확인되지 않았다.

금융당국은 최근 침해사고와 보안 목적의 망분리 규제 완화 사이에는 직접적인 연관성이 없다고 보고 있다. 실제 최근 공격 사례에서는 대출모집인 조회 페이지와 영업지원 시스템 등 외부에 노출된 시스템이 공격 대상이 된 것으로 파악됐다.

보안 목적의 망분리 규제 완화 역시 외부 고성능 AI를 활용해 내부 시스템의 취약점을 점검할 수 있도록 제한적으로 예외를 허용하는 것이어서 최근 침해사고와는 성격이 다르다는 게 당국의 설명이다.

그럼에도 망분리 규제 완화 대상으로 선정돼 AI를 활용한 보안 강화에 나선 금융회사들마저 실제 해킹 공격을 피하지 못한 만큼, AI 활용 확대와 함께 금융권 전반의 보안체계를 보다 촘촘히 구축해야 한다는 지적이 나온다. 특히 금융회사와 연결된 외주사·제휴사 등 제3자까지 보안 관리 범위를 넓혀야 한다는 의견도 제기된다.

황석진 동국대학교 국제정보보호대학원 교수는 "AI를 활용한 공격은 짧은 시간에 대량으로 자동화될 수 있기 때문에 대출모집 관련 시스템과 외주사·제휴사 등의 API까지 전반적으로 들여다봐야 한다"며 "제3자 보안 공통 기준을 만들어 조치할 필요가 있다"고 말했다.

이어 "AI 공격에 대응할 수 있는 방어 모듈을 만들어 금융권이 공통으로 활용할 수 있도록 하는 방안도 필요하다"며 "금융보안은 단순한 IT 문제가 아니라 국민의 재산과 금융시스템에 대한 신뢰를 지키는 문제라는 관점에서 접근해야 한다"고 강조했다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지