최근 대출모집인 및 직원용 업무시스템 등 주변 시스템을 통한 해킹 사고가 잇따르자, KB국민·신한·하나·BNK부산은행 등이 업무 및 지원시스템 보안체계 전수점검에 나섰습니다.
금융감독원과 금융보안원은 해킹 시도 IP 33개를 공유하고 12개 항목의 체크리스트를 배포하여 8일까지 자체 점검을 요청했습니다. 이에 따라 각 은행은 침투테스트와 AI 기반 외부 노출 자산 점검 등을 실시했습니다.
에디터 분석
성벽은 높였으나 뒷문은 열려 있었던 보안의 맹점
금융 보안의 전통적인 전략은 고객 거래가 일어나는 핵심망 주위에 거대한 성벽을 쌓는 방식이었다. 하지만 이번 사고들은 정문이 아니라 대출모집인이나 직원용 업무시스템 같은 주변 시스템이라는 뒷문을 통해 발생했다. 핵심망은 철저히 관리했지만, 상대적으로 중요도가 낮다고 판단한 지원 시스템의 인증과 접근 제어에는 구멍이 뚫려 있었던 셈이다.
이런 구조적 허점은 보안의 경계가 모호해진 환경에서 반복된다. 내부자와 외부자의 구분을 전제로 한 기존의 경계 보안 체계는, 일단 한 곳만 뚫리면 내부의 다른 시스템으로 쉽게 전이되는 취약성을 가진다. 결국 모든 접근을 의심하고 매번 검증하는 방식으로 보안의 패러다임을 전환해야 하는 시점이다.
형식적 점검을 넘어 실질적 취약점을 짚어낸 보도들
아이뉴스24와 아시아경제는 공통적으로 기존 보안 체계의 실효성에 의문을 제기하며, 단순한 점검을 넘어 다중인증과 같은 근본적인 접근 통제 강화가 필요하다는 점을 짚었다.
특히 아시아경제는 BNK경남은행이 자체 점검에서 인증 및 인가 검증 기능 누락으로 미흡 판정을 받았으며, 퇴직 직원 정보 조회 페이지 등을 삭제하는 구체적인 조치를 취했다는 사실을 상세히 보도했다. 신한, KB국민, 하나은행 역시 자체 점검에서 미흡 항목이 발견되었다는 점을 명시하며, 금융권의 보안 점검이 단순히 '적정' 판정을 받기 위한 통과 의례가 되어서는 안 된다는 경고를 보냈다.
전반적으로 이번 보도들은 금융당국의 지시에 따른 행정적 절차를 나열하는 데 그치지 않고, 실제 어떤 지점에서 보안 구멍이 발견되었는지 구체적인 사례를 제시하며 본질적인 보안 체계의 변화를 촉구했다는 점에서 가치가 있다.
