社论 '보안 파수꾼'까지 뚫린 금융보안원, 방어 체계 원점에서 재설계하라

대한민국 금융권의 정보보호를 전담하는 금융보안원의 내부망이 해킹 공격에 뚫렸다. 금융회사들의 보안 실태를 평가·지도해야 할 컨트롤타워가 도리어 자신의 담장조차 지키지 못하고 공격자에게 기습을 허용한 것이다.

급기야 금융보안원은 12일 개최 예정된 '금융정보보호 컨퍼런스(FISCON) 2026' 행사까지 취소하는 파행을 빚고 있다. 금융 안보의 최후 보루마저 흔들렸다는 점에서 이번 정보 유출이 금융 시장 전반에 던진 충격과 신뢰 추락은 실로 심각하다.

금감원 사칭 계정에 뚫린 상시평가 시스템, 신뢰의 근간이 흔들린다

피해가 발생한 '정보보호 상시평가 지원시스템'은 금융회사들이 자사 보안 관리체계를 증명하기 위해 상세한 서식과 이용자 정보를 제출하는 통로다. 해커들은 금융감독원을 사칭한 허위 계정을 생성하는 수법으로 850여 건의 행정서식과 개인정보를 무단 조회하고 훔쳐냈다.

고객 시스템 구성도 등 민감 정보는 유출을 면했다고 하나, 상급 감독기관을 사칭한 허위 계정조차 걸러내지 못한 채 자료 반출을 방치했다는 사실만으로도 금융 보안 인프라에 대한 시장의 의구심은 돌이키기 어렵게 됐다.

안일한 권한 관리와 탐지 부실, 예고된 직무 유기

이번 사태에서 가장 뼈아픈 대목은 외부 침입 차단이라는 기술적 방어망은 물론, 이용자의 신원과 접근 권한을 검증하는 기본적인 인증 체계마저 무력화되었다는 점이다. 남의 집 문단속을 지적하기 전에 자사 내부 계정 발급과 비정상 트래픽 탐지망부터 가다듬었어야 마땅하다.

사칭 계정이 대량의 자료를 내려받는 동안 실시간 탐지·차단이 작동하지 않은 것은 기존 방어망이 사실상 무용지물이었음을 실증한다. 보안 전담 기관이 이토록 허술하다면, 향후 어느 금융회사가 안심하고 핵심 보안 자료를 제출할 수 있겠는가.

'성벽 모델' 폐기하고 제로 트러스트 체계로 전면 전환해야

정부와 금융당국은 이번 참사를 일회성 사고로 치부하며 사후약방문식 땜질 처방에 그쳐서는 안 된다. 외부 경계만 겹겹이 두르고 내부 접속은 무조건 믿는 전형적인 '성벽 모델'에서 벗어나, 로그인된 계정이라도 끊임없이 의심하고 검증하는 '제로 트러스트(Zero Trust)' 방어 체계로 패러다임을 전면 교체해야 한다.

경찰 수사를 통해 허위 계정 생성 및 권한 남용 경로를 명명백백히 밝히는 한편, 금융권 전체의 접근 통제 및 반출 탐지 시스템을 근본적으로 재설계해야 한다. 국민의 재산이 걸린 금융 안보를 지키려면 파수꾼의 인적·기술적 쇄신이 시급하다.