정순채 서울과학기술대학교 겸임교수. 경희사이버·서울디지털대학교 객원교수. 법무법인 린 자문위원

 

 

금융권을 겨냥한 해킹이 심상치 않다. 신한은행에서 처음 확인된 해킹사태가 전체 금융권으로 확산되고 있다. 일부 은행에서는 개인정보 유출 사례가 확인됐다. 문제는 공격 대상이 은행에만 머물지 않았다는 점이다. 저축은행과 캐피탈 등 제2금융권에서도 유출 정황이 나타나면서 금융권 전체가 사이버 공격의 사정권에 들어왔다.

 

더 우려되는 것은 AI의 활용 가능성이다. 실제 공격 과정에서 AI가 어느 정도 사용됐는지는 조사가 필요하다. AI를 이용해 취약점을 탐색하고 공격을 자동화∙고도화했을 가능성이 제기되고 있다. 이제 AI는 금융산업의 혁신 도구인 동시에 범죄자의 공격력을 높이는 수단이 될 수 있다.

 

그러나 진짜 위험은 해킹이 끝난 뒤 시작될 수 있다. 유출된 개인정보가 보이스피싱과 스미싱의 정교한 미끼로 바뀌는 순간이다. 이름과 전화번호, 생년월일 등이 유출됐다고 가정하자. 며칠 뒤 "○○은행 고객님, 최근 개인정보 유출과 관련해 본인 확인이 필요합니다"라는 전화가 걸려온다. 사기범은 피해자의 이름과 거래 금융회사까지 알고 있다.

 

"고객님의 개인정보가 유출됐습니다." "명의가 범죄에 이용됐습니다." "피해를 막으려면 안전계좌로 돈을 옮겨야 합니다." 이렇게 접근하면 피해자는 오히려 전화를 믿을 수 있다. 실제로 개인정보 유출 사고가 발생했기 때문이다. 사고 자체가 사기범에게 새로운 범죄 시나리오를 만들어주는 셈이다.

더 무서운 것은 피해자가 스스로 추가 정보를 제공하게 된다는 점이다. 처음에는 이름과 연락처만 유출됐더라도 사기범의 말을 믿고 주민등록번호, 계좌정보, 카드정보, 비밀번호나 인증번호를 알려주거나 악성 앱을 설치하면 피해는 걷잡을 수 없이 커진다.

 

문자메시지도 마찬가지다. "개인정보 유출 확인", "금융피해 보상 신청", "명의도용 방지" 등의 문구와 함께 인터넷 주소를 보내 클릭을 유도한다. 한 번의 개인정보 유출이 두 번째 금융사기의 출발점이 되는 것이다.

 

금융회사의 책임은 사과문 한 장으로 끝나서는 안 된다. 무엇이 유출됐는지, 언제 유출됐는지, 어떤 2차 피해가 예상되는지, 고객이 무엇을 해야 하는지를 구체적으로 알려야 한다.

 

유출 고객에게는 금융회사를 사칭한 전화와 문자에 응하지 말 것, 문자 속 인터넷 주소를 함부로 누르지 말 것, 비밀번호와 인증번호를 누구에게도 알려주지 말 것, 돈을 다른 계좌로 옮기라는 요구를 받으면 즉시 전화를 끊고 금융회사 공식 대표번호로 확인할 것을 분명하게 안내해야 한다.

 

금융회사도 보안의 범위를 다시 설정해야 한다. 핵심 전산망만 지키는 것으로는 부족하다. 홈페이지와 모바일 서비스, 직원용 시스템, 외부 개발업체, 협력업체 계정 등 연결된 모든 지점을 공격 대상으로 보고 지속적으로 관리해야 한다.

 

사고가 발생하면 유출 여부를 신속히 확인하고, 유출정보의 불법 유통을 감시해야 한다. 이상 거래를 탐지하고, 피해 고객을 보호하는 체계를 가동해야 한다. 한 금융회사에서 발견된 공격 IP와 악성코드, 침투 방식도 금융권 전체가 신속하게 공유해야 한다.

 

개인정보는 금융회사의 소유물이 아니다. 고객이 금융거래를 위해 맡긴 정보다. 그 정보를 지키지 못한 금융회사의 책임도 무거워야 한다. 해킹은 한 번의 사건일 수 있다. 그러나 유출된 개인정보는 수개월, 수년 뒤에도 보이스피싱과 스미싱, 명의도용 등 각종 범죄에 악용될 수 있다.

 

AI가 공격자의 능력을 키우는 시대다. 이제 금융 보안은 해킹을 막는 것에서 끝나서는 안 된다. 공격을 발견하여 유출을 차단해야 한다. 2차 피해를 막고, 피해 고객을 끝까지 보호하는 것까지가 금융회사의 책임이다.

 

금융의 경쟁력이 기술에서 나온다면 금융의 신뢰는 보안에서 나온다. 유출된 개인정보가 다음 금융사기의 탄약이 되지 않도록 끝까지 추적하고 차단해야 한다. 그것이 AI 해킹 시대 금융회사가 져야 할 진짜 책임이다.

 

아시아타임즈 https://www.asiatime.co.kr/article/20261006500050