[금융위원회] 금융권 약 580개사 보안 전수점검 추진… AI로 보이스피싱 2차 피해 막는다

금융당국이 은행·보험·증권뿐 아니라 전자금융업자와 가상자산사업자 등을 포함한 약 580개사를 대상으로 보안 전수점검을 추진한다. 유출정보가 보이스피싱과 명의도용으로 이어지는 2차 피해를 막고, 인공지능(AI)을 활용한 공격에 대응하는 보안체계를 갖추겠다는 취지다.

금융위원회는 11월 5일 금융보안원 여의도 분원에서 ‘AI시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 전수점검과 제도개선 과제를 논의했다고 밝혔다. 금융감독원·금융보안원, 관계부처와 전 금융권 협회 등이 참석했다.

고객정보 유출·회사자금 탈취, 범위 구분해 대응

금융위에 따르면 9월 30일 이후 11월 3일까지 총 37개사에서 40건의 침해사고가 신고됐고 정보유출 규모는 약 47만3천 건으로 파악됐다. 임직원 정보와 고객 성명·주민등록번호·계좌번호 등이 주로 포함됐으며, 당시까지 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 확인되지 않았다.

일부 소규모 가상자산·전자금융·온라인투자연계금융업자에서는 회사가 관리하는 자금 약 10억 원의 탈취가 신고됐다. 금융위는 이를 고객자금을 통합 관리하는 계정 등에서 이체가 발생한 사안으로 설명했으며, 11월 3일 기준 개별 이용자의 자금손실이 현실화된 것으로는 파악되지 않았다고 밝혔다.

외부에서 접근 가능한 시스템·내부통제 전반 점검

• 전수점검 범위 : 홈페이지 등 고객 서비스뿐 아니라 직원관리·내부업무·제휴업무, API와 개발·테스트·임시운영 시스템까지 살핀다. CEO·정보보호책임자 등의 역할과 의사결정 체계도 점검한다.

• 점검 일정 : 관리대장 등재 시스템의 외부접점은 11월 30일까지, 미등재 시스템과 내부통제체계 전반은 12월 31일까지 점검을 마무리할 계획이다.

• 취약점 대응 : 금전피해나 개인정보 유출 우려가 있는 중요한 취약점이 발견되면 즉시 서비스를 중단하고 외부접근을 차단하도록 했다.

• 평가 제도 개선 : 대형 금융회사부터 취약점 분석·평가 주기를 연 1회에서 2회로 단축하는 방안 등을 추진한다. 관련 감독규정 개정안은 11월 중 예고할 계획이다.

피싱지수 시범 도입… 피해배상 제도는 입법 추진

금융위는 다크웹·텔레그램 등에서 탈취정보 유통 여부를 모니터링하고, 유출·거래가 확인되면 금융회사를 통한 고객통지와 추가 피해 예방 안내 등 조치를 추진할 계획이다. 보이스피싱 공동 대응 플랫폼인 ASAP에는 의심거래의 위험도를 0~100점으로 제시하는 AI 기반 ‘피싱지수’를 11월부터 시범 도입한다.

보이스피싱 피해금의 일정 부분을 금융회사가 보상하도록 하는 무과실책임 제도는 국회에 계류 중인 법 개정안의 입법을 지원하는 단계다. 보상대상·한도·면책범위 등 세부 요건도 설계할 예정으로, 모든 피해에 대한 배상이 확정된 제도로 받아들여서는 안 된다.

망분리 규제 전면해제를 논의하는 전담조직을 가동하고, 가상자산사업자와 보험대리점 등까지 보안규율을 정비하는 ‘디지털금융 안전법’도 2027년 1분기 법안 마련을 목표로 추진한다. 중소형 금융회사를 위한 원스톱 AI방어서비스와 맞춤형 보안 안내서는 12월부터 순차 지원할 계획이다.

이억원 금융위원장은 “고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것”이라며 보안체계 쇄신을 강조했다. 문의는 금융위원회 금융안전과(02-2100-2979)로 하면 된다.