[다이어리포인트=김정훈 기자] 금융당국이 은행·보험·증권뿐 아니라 가상자산사업자, 전자금융업자, 온라인투자연계금융업자 등 580여 곳을 대상으로 보안 전수점검에 착수했다. 금융위원회가 11월 5일 발표한 대책으로, 9월 30일 이후 잇따른 침해사고에 대응해 금융회사 외부에서 접근할 수 있는 시스템과 내부 보안관리 절차를 함께 살핀다.
당국 집계로는 11월 3일까지 37개사에서 침해사고 40건이 신고됐고, 정보 유출 규모는 약 47만3000건이다. 주로 임직원 정보와 고객 이름·주민등록번호·계좌번호 등이 포함됐다. 계좌 비밀번호 등 부정결제로 이어질 수 있는 정보가 유출된 사례는 현재까지 확인되지 않았다고 금융위는 밝혔다.
홈페이지뿐 아니라 제휴·시험 시스템도 점검
점검 대상은 고객용 홈페이지와 앱에 그치지 않는다. 직원관리·내부업무·제휴업무 등 외부에서 접근 가능한 영역과 인증·접근통제, 업무용 API, 개발·테스트 및 임시운영 시스템까지 포함한다. 관리대장에 올라 있는 시스템의 외부접점 점검은 11월 30일까지, 미등재 시스템과 CEO·CISO 등 내부통제체계 점검은 12월 31일까지 마무리할 계획이다.
대형 금융회사부터 취약점 분석·평가를 연 1회에서 2회로 늘리고, 금융거래와 직·간접적으로 연결된 모든 외부접점을 점검대상에 넣는 제도 개선도 추진한다. 금융당국은 관련 규정 변경을 11월 중 예고할 방침이다. 이 일정은 제도 개선 계획이며, 점검 횟수가 당장 모든 금융사에 일괄 적용되는 것은 아니다.
앱 알림과 거래내역에서 낯선 움직임 확인
이용자는 금융 앱이나 인터넷뱅킹에서 최근 이체·결제·자동이체 내역을 살피고, 본인이 신청하지 않은 인증이나 비밀번호 변경 알림이 있는지 확인할 수 있다. 모르는 거래가 보이면 앱 안의 공식 고객센터나 카드 뒷면에 적힌 번호로 금융회사에 연락해 거래 확인과 필요한 지급정지 절차를 문의해야 한다. 문자나 전화에 적힌 링크·번호로 접속해 인증번호나 비밀번호를 전달해서는 안 된다.
정보가 유출됐다는 통지를 받았다면 해당 금융회사가 안내한 항목과 조치 방법을 우선 확인해야 한다. 금융위는 현재까지 계좌 비밀번호 등 결제 위험 정보의 유출은 파악되지 않았다고 밝혔지만, 일부 소규모 가상자산·전자금융·온투업체에서는 회사가 관리하던 자금 약 10억원이 탈취된 사고도 신고됐다. 당국은 개별 이용자의 자금 손실은 아직 현실화하지 않은 것으로 파악했다.
금융위는 다크웹·텔레그램 등에서 유출정보 유통을 살피고, 금융권 공동 보이스피싱 대응 플랫폼에 AI 기반 의심거래 판단지수를 11월부터 시범 도입할 계획이다. 미등재 시스템 점검과 내부통제 조사는 연말까지 이어지며, 금융권 보안 내부통제 가이드라인은 2027년 1분기 마련을 목표로 추진된다.
0개의 댓글