신한·KB국민·하나 등 피해 은행
자체 보고서엔 “최고 보안 능력”
국회, 금융위·금감원 국감 별러

지난 4일 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 이호성 하나은행장(왼쪽부터), 이환주 KB국민은행장, 정상혁 신한은행장이 개회를 기다리며 대화하고 있다. 연합뉴스

보안 최고 등급과 각종 인증을 자랑하던 대형 은행들이 인공지능(AI) 활용이 의심되는 해킹 공격에 잇따라 허점을 드러냈다.

5일 각 금융지주의 올해 반기보고서 등에 따르면 최근 유출사고를 겪은 신한·KB국민·하나은행은 전담 조직과 24시간 관제, 국내외 인증 등을 앞세워 고객정보 보호 역량을 강조했다.

신한은행은 금융위원회 주관 개인신용정보 관리·보호 실태 점검에서 6년 연속 S등급(100점)을 받았고, 국내 금융권 처음으로 북대서양조약기구(NATO) 사이버방위센터 훈련에도 참여했다고 공시했다. 하지만 최근 대출모집인용 조회 서비스가 뚫리면서 2만 5727건의 정보가 빠져나갔다.

KB금융은 올 1월 그룹사이버보안센터를 출범시켜 ‘레드팀’과 ‘블루팀’을 운영한다. 하나은행은 그룹 통합 보안관제센터를 24시간 가동한다. 그럼에도 KB국민은행은 직원용 모바일 업무지원 시스템을 통해 고객 119명의 정보가 유출됐다. 하나은행도 영업지원시스템이 뚫려 고객 89명의 정보가 새어 나갔다.

은행들이 정보보호를 위해 쓴 돈도 만만치 않았다. 금융감독원이 국민의힘 이양수 의원에게 제출한 자료를 보면 세 은행의 지난해 정보보호 집행액은 1239억 7400만 원에 달했다.

금감원은 해커들이 AI 에이전트로 외부 접점의 빈틈을 찾아 대량 자동화 공격을 벌인 것으로 보고 있다. 이달 들어 정보 유출이 확인된 금융사는 이들 3곳과 BNK부산은행, 현대캐피탈, 예가람·웰컴저축은행 등 7곳이다.

금융사가 사고 자체를 뒤늦게 알아챈 사례도 적지 않았다. 조국혁신당 김형연 의원이 금감원에서 받은 자료에 의하면 2022년부터 올해 8월까지 보고된 전자금융사고·침해사고 2189건 가운데 91건은 발생 30일이 지나서야 인지됐다.

이 중 17건은 1년 넘게 발견되지 않았다. 롯데손해보험은 2023년 11월 발생한 프로그램 오류를 902일 만에 발견했고, 하나은행도 지난해 4월 생긴 오류를 507일 뒤에야 찾아 고객 112명에게 714만 원을 물어줬다.

한편 국회 정무위원회는 오는 8일 금융위, 19일 금감원에 대한 국정감사를 연다. 은행권 해킹 사태를 두고 금융당국과 금융사를 향한 질타가 쏟아질 전망이다. 경찰청 사이버테러대응수사대도 지난 2일 은행권 해킹 사건 내사에 착수했다.

박동해 기자 eastsea@busan.com