금융감독원의 금융권 보안 점검 요청에 따라 은행·카드사가 오늘(6일)까지 긴급 점검을 마무리하는 가운데, BNK부산은행이 점검 체크리스트 중 일부 미흡 판정 결과를 보고한 걸로 SBS 취재 결과 확인됐습니다.

국회 정무위원회 소속 더불어민주당 손명수 의원실이 BNK부산은행으로부터 제출받은 '침해사고 대비 금융권 IT보안 자체점검 체크리스트 점검 결과' 자료에 따르면 부산은행은 체크리스트 12개 항목 중 1개 항목에서 '미흡'으로 판정한 걸로 나타났습니다.

'미흡' 판정은 '대외 시스템 대상으로 인증·인가 검증 기능 누락 여부 및 접근 제어 취약점 등 확인·검증' 항목이었습니다.

부산은행 측은 대외시스템에 대해 "구글 GTI(Google Threat Intelligence) 서비스의 ASM(공격표면관리) 기능으로 매일 모니터링하고 있다"면서도, "해당 보안 도구에서는 별도 로그인 없는 일반 사용자가 접근 가능한 페이지인지 여부는 판단하지 못하고 있다"고 판정 이유를 밝혔습니다.

그러면서 "대외 시스템 중 별도 로그인 없이 일반 사용자가 접근되는 웹 페이지를 전면 재조사해 10월 안에 차단하고 보안 코딩 등을 조속히 조치할 예정"이라고 설명했습니다.

또, AI를 이용한 무차별적 전자적 침해에 대응하기 위해 보안 취약점 점검용 AI(인공지능) 에이전트도 개발하겠다고 밝혔습니다.

현재는 점검자인 사람이 보안취약점 도구를 직접 이용해 개별적으로 취약점을 점검하고 조치하는 등 보안 관리 전 작업이 수작업으로 진행하다 보니 관리에 한계점이 있다고 인정한 겁니다.

부산은행 측은 "금융 당국에 보안 강화 목적 AI 활용 망분리 규제 완화를 신청했지만, 대상 금융사로 선정 되기 전이라도 법령에서 허용 가능한 범위 내에서 관련 AI 에이전트를 긴급개발해 12월에 적용할 예정"이라고 덧붙였습니다.

또, 지금은 사이버 위협·침해에 대해 SK쉴더스와 금융보안원의 상시 보안관제 서비스를 이용하고 있긴 하지만, 상주 인력이 24시간 관제하고 있진 않다 보니 야간 및 휴일 등 일과 시간 외에는 내부의 모든 보안장비를 활용한 보안관제가 실시간으로 이뤄지기 어려운 상황이라며 향후 상주 인력에 의한 24시간 365일 실시간 보안관제 운영을 검토하겠다고 강조했습니다.

손명수 의원은 "부산은행 외에도 전 금융회사의 체크리스트를 면밀히 살펴 보안 취약점을 하루 속히 개선할 수 있도록 금융 당국이 조치에 나서야 한다"고 강조했습니다.

앞서 부산은행에서는 지난 1일 오후 9시쯤 AI 에이전트를 활용한 외부의 웹서버 공격 시도로 외주 개발 직원 11명의 개인정보가 노출되는 일이 발생했습니다.

(사진=BNK부산은행 제공, 연합뉴스)