전준우 금융부 팀장
서울경찰청이 지난 26일 검거했다고 밝힌 해킹 일당의 총책은 해킹을 독학한 30대 IT 비전공자였다. 그는 생성형 인공지능(AI)과 자율 침투 도구를 동원해 학원, 병원, 대기업 계열사 등 90여 곳에서 개인정보 820만여 건을 빼냈다. 금융권 연쇄 해킹에서 흔적이 나온 AI 침투 도구 '아르텍스'도 그의 손에 있었다. 고도로 훈련된 해커 조직이 아니어도 AI만 있으면 기업 수십 곳을 털 수 있는 시대다.
실제로 공공·민간 가릴 것 없이 하루가 멀다 하고 해킹 사고 소식이 들려온다. 그중에서도 AI를 활용한 해킹이 금융권을 집중적으로 노리는 건 이곳에 사람들의 재산이 모여 있어서다. 다른 곳에서 샌 정보와 달리 금융회사에서 샌 정보는 곧장 돈으로 이어진다. 은행에서 빠져나간 이름과 주민등록번호, 소득과 대출 한도는 보이스피싱과 명의도용의 가장 정교한 재료가 된다.
5대 은행장은 4년 만에 국정감사장에 불려 나와 고개를 숙였다. 한 은행장은 하루 5만 건가량의 공격을 받는다고 토로했고, 피해를 면한 은행 조차 "운이 좋았기 때문"이라고 했다. 방패가 모든 공격을 막아낼 만큼 튼튼하다고 자신할 수 없다는 고백이다.
대응 속도는 더 뼈아프다. 유출 정황을 확인하기까지 80시간이 걸린 은행도 있었다. 창이 AI의 속도로 파고드는 동안 방패는 사흘이 넘도록 뚫린 줄도 몰랐던 셈이다.
금융당국은 쏟아지는 AI 해킹 공격에 과부하가 걸렸다. 이억원 금융위원장은 지난 8일 국감에서 "우리의 대응 방식은 아주 기본적인 부분에도 굉장히 미흡하다"고 인정했다. AI 공격은 AI로 막아야 한다며 망분리 규제 완화 필요성을 재차 강조했지만, 해킹 사고 수습하기에도 인력이 부족해 2차 완화 대상 선정은 엄두도 못 낸다.
은행은 그동안 자본건전성을 생명줄로 여겨왔다. 2008년 글로벌 금융위기 이후 바젤3로 자본 규제가 깐깐해지면서 이제 국내 대형 은행이 자본 부족으로 무너질 것이라고 걱정하는 사람은 드물다.
하지만 위협의 무게중심은 이미 옮겨 갔다. 한 금융당국자는 "자본건전성으로 망할 은행은 없어도, 보안 때문에 문 닫는 은행은 나올 수 있다"고 했다.
해킹이 누구나 할 수 있는 일이 된 지금, 금융권이 보안을 대하는 태도부터 바뀌어야 한다. 이찬진 금융감독원장은 지난 28일 금융회사들에 IT 보안을 부수적인 업무나 비용으로 여기는 관행에서 벗어나라고 주문했다.
그 주문은 금융당국 스스로에게도 향해야 한다. 보안 투자가 비용이 아니라 생존의 조건이라면, 이를 관리·감독하는 당국의 보안 역량도 같은 무게로 다뤄야 한다. 규제 완화 하나도 인력난에 발이 묶인 게 지금 당국의 현실이다. 당국부터 IT 전문 인력을 확충하고 평소 상시 점검 체계를 갖춰야 한다. 투자 여력이 모자란 중소형 금융회사를 위한 공동 보안관제 시스템도 서둘러 마련할 때다.
사고가 터질 때마다 수습에 급급한 금융회사, 그 뒤를 쫓기 바쁜 당국. 내 돈을 맡기기 아무래도 불안하다.
junoo5683@news1.kr
