금융위, 금융권 580여곳 보안 전수점검…침해사고 37개사 40건 신고

금융위원회가 5일 은행·증권·보험회사와 가상자산사업자 등 금융권 약 580개사를 대상으로 외부 접속 경로와 보안 내부통제를 전수점검하겠다고 밝혔다. 최근 신고된 침해사고가 여러 업권에 걸쳐 발생하자 관리대장에 빠진 시스템까지 조사 범위를 넓히기로 했다.

금융위가 이날 공개한 집계에 따르면 9월 30일부터 11월 3일까지 37개사에서 침해사고 40건이 신고됐다. 사고에 따른 정보 유출 규모는 약 47만3000건이다. 이는 유출 정보의 건수로, 피해자 수와 동일한 수치는 아니다.

금융위는 유출된 자료에 임직원 정보와 고객의 이름·주민등록번호·계좌번호 등이 포함됐다고 설명했다. 계좌 비밀번호처럼 부정결제로 이어질 우려가 있는 정보의 유출은 아직 확인되지 않았다는 게 당국의 발표다. 일부 소규모 사업자가 관리하던 자금 약 10억원의 탈취도 신고됐으나 개별 이용자의 자금 손실은 현재까지 현실화되지 않은 것으로 파악했다.

등록된 접속 경로는 이달 말, 누락된 시스템은 연말까지

점검 대상은 대고객 홈페이지뿐 아니라 직원 관리와 제휴 업무, 개발·시험용 시스템 등 외부에서 접근할 수 있는 IT 자산이다. 금융회사가 우선 자체 점검하고, 내용이 부실하거나 중대한 취약점이 나오면 금융감독원과 금융보안원이 현장을 살필 계획이다.

당국은 관리대장에 등록된 시스템의 외부 접속 경로를 11월 30일까지 점검하고, 미등록 시스템과 경영진의 보안 책임 체계는 12월 31일까지 조사할 방침이다. 피해나 정보 유출로 이어질 수 있는 중요한 취약점이 발견되면 외부 접근을 차단하도록 했다. 다만 즉시 보완하기 어려운 필수 서비스는 대체 통제를 갖추고 최고경영자의 승인을 받아 재개할 여지를 뒀다.

상시 점검 의무와 망분리 변화는 아직 추진 단계

대형 금융회사의 취약점 분석·평가 주기를 연 1회에서 2회로 늘리는 방안도 추진한다. 금융위는 이를 담은 전자금융감독규정 개정안을 11월 중 예고할 계획이다. 중요한 취약점을 방치했을 때 이행강제금을 부과하는 방안은 국회에 발의된 법률 개정안의 통과가 필요하다.

금융회사 간 공격 정보를 공유하는 관제체계는 12월 시범운영, 2027년 1분기 전면 활용을 목표로 한다. 금융위가 망분리 규제 전면해제 논의를 위한 태스크포스를 가동하겠다고 했지만 규제가 이날 해제된 것은 아니다. 보이스피싱 의심 거래에 점수를 매기는 AI 지표 역시 11월 시범 도입 계획으로, 실제 피해 감소 효과는 발표되지 않았다.

자료: 금융위원회 2026년 11월 5일 발표 https://www.fsc.go.kr/no010101/88086

교차 확인: 머니투데이 2026년 11월 5일 보도 https://www.mt.co.kr/finance/2026/11/05/2026110508344076534

대표 이미지: AI 생성 이미지 / 데이마크