5대 은행 AI 해킹 개인정보 유출 국감 긴급 소집…보안 패치 미적용·관제 부실 드러나

핵심 요약

- 2026년 국정감사에서 5대 은행장이 AI 기반 사이버 공격에 따른 개인정보 유출 사태로 4년 만에 동시 출석 - 최신 보안 패치 미적용, 기술지원 종료(EoL) 시스템 방치, 24시간 보안관제 미구축 등 다층적 보안 체계 부실 확인 - 인공지능을 활용한 정교한 사이버 공격에 대응하지 못한 은행권 보안 투자 및 관리 실태 전면 재점검 필요

주요 내용

2026년 10월 국정감사에서 주요 시중은행 5곳의 대표가 AI 기반 사이버 공격으로 인한 대규모 개인정보 유출 사고 관련 질의를 받기 위해 국회에 출석했다. 은행장들이 동시에 국감에 소집된 것은 2022년 이후 4년 만으로, 최근 발생한 일련의 해킹 사태가 금융권 전반의 구조적 보안 취약점에서 비롯됐다는 우려가 반영된 것으로 분석된다.

국감 과정에서 드러난 주요 보안 취약점은 크게 세 가지로 요약된다. 첫째, 최신 보안 패치가 적시에 적용되지 않아 이미 공개된 취약점(Known Vulnerabilities)을 공격 경로로 활용당한 사례, 둘째, 제조사의 기술 지원이 종료된 레거시 시스템을 지속 운영하면서 발생한 보안 공백, 셋째, 24시간 실시간 보안관제 체계가 구축되지 않아 침해 징후를 조기에 탐지하지 못한 점 등이다.

특히 이번 사태는 인공지능 기술을 활용한 고도화된 공격 기법이 사용됐다는 점에서 주목된다. AI는 취약점 스캐닝, 패턴 분석, 사회공학 기법 고도화 등에 활용되어 기존 보안 체계로는 탐지가 어려운 제로데이(Zero-day) 공격과 유사한 양상을 보였다. 이에 따라 은행별 보안 투자 규모와 실제 보안 수준 간 괴리, 정보보호 조직의 독립성과 실효성, 외부 전문기관을 통한 취약점 점검 주기 등이 집중 질의 대상이 됐다.

금융권은 개인정보보호법 및 전자금융거래법상 금융회사로서 강화된 안전성 확보 의무를 부담하며, ISMS-P 의무 인증 대상이다. 그럼에도 이번 사태는 인증 취득과 실질적 보안 수준 유지가 별개임을 보여주는 사례로, 형식적 심사가 아닌 실질적 보안 통제의 작동 여부를 확인하는 사후관리 체계 강화 필요성이 제기되고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 사태는 '인증 취득'과 '보안 수준 유지'의 분리 현상을 극명하게 보여준다. 많은 조직이 인증 심사 시점에는 통제 항목을 충족하지만, 사후 지속적 이행 관리(Continuous Compliance)가 부실하여 실제 침해사고 발생 시 취약점이 노출된다. 특히 패치 관리(2.8.2), 시스템 및 서비스 운영 관리(2.8.6), 보안관제(2.10.4) 등은 '일회성 구축'이 아닌 '지속적 운영'이 핵심인 통제 항목으로, 운영 증적(Log, 점검 기록, 조치 이력)이 실질적으로 생성·관리되고 있는지가 관건이다.

AI 기반 공격의 등장은 기존 시그니처 기반 탐지 체계의 한계를 드러낸다. 이에 대응하기 위해서는 이상행위 탐지(Anomaly Detection), 행위 기반 분석(Behavioral Analysis), 위협 인텔리전스 연계 등 차세대 보안관제 체계로의 전환이 필요하다. 또한 EoL 시스템은 단순히 '오래된 시스템'이 아니라 '보안 패치가 더 이상 제공되지 않아 취약점이 누적되는 시스템'이므로, 마이그레이션 계획 수립과 함께 격리·모니터링 강화 등 보상통제(Compensating Control)가 반드시 병행되어야 한다.

ISMS-P 심사원 체크포인트

[2.8.2 패치 관리]
- 운영체제, 응용프로그램, 보안장비 등에 대한 최신 보안 패치 적용 현황 점검
- 패치 적용 정책(긴급/일반 패치 분류 기준, 테스트 절차, 적용 주기) 수립 여부
- 패치 미적용 시스템 목록 관리 및 위험 평가, 보상통제 적용 여부 확인
- 개인정보보호법 제29조(안전조치의무) 및 시행령 제30조에 따른 보안 프로그램 최신 업데이트 의무 위반 소지

[2.8.6 시스템 및 서비스 운영관리 - EoL 시스템]
- 기술지원 종료 시스템 현황 파악 및 운영 지속 사유 문서화 여부
- EoL 시스템에 대한 네트워크 격리, 접근통제 강화, 집중 모니터링 등 보상통제 구현 확인
- 시스템 전환(Migration) 계획 수립 및 이행 일정 관리 적정성 평가

[2.10.4 보안관제]
- 24시간 365일 실시간 보안관제 체계 구축 여부(자체 구축 또는 전문기관 위탁)
- 침해사고 탐지 룰(Rule) 및 이상징후 탐지 정책의 실효성, 오탐·미탐 관리 현황
- 보안관제 결과에 대한 후속조치(에스컬레이션, 사고 대응 연계) 프로세스 작동 여부 점검

CPPG·ISMS-P 연계 포인트

보안 패치 관리 및 취약점 관리 체계
보안 패치는 알려진 취약점에 대한 가장 기본적이고 효과적인 대응 수단이다. CVE(Common Vulnerabilities and Exposures) 등록 취약점은 공격자도 동일하게 인지하고 있어, 패치 공개 후 패치 적용 전까지의 시간(Time-to-Patch)이 공격 노출 기간이 된다. ISMS-P에서는 패치 적용 정책, 테스트 절차, 긴급 패치 처리 프로세스, 미적용 시스템 관리 등을 종합적으로 요구하며, CPPG 시험에서는 패치 관리 절차, 취약점 심각도 평가(CVSS) 개념이 출제된다.

24시간 보안관제(SOC) 및 침해사고 대응 체계
보안관제는 실시간 보안 이벤트 모니터링, 로그 분석, 이상징후 탐지를 통해 침해사고를 조기에 발견하고 대응하는 핵심 통제이다. ISMS-P 인증기준 2.10.4는 365일 24시간 관제 체계를 요구하며, 특히 정보통신서비스 제공자 및 연매출 1,500억 이상 기업은 필수 이행 사항이다. 침해사고 발견 시 개인정보보호법 제34조에 따라 통지 및 신고 의무가 발생하며, 관제 미흡으로 인한 발견 지연은 과징금·과태료 가중 사유가 될 수 있다.