### S등급 은행부터 16개 금융기관까지…'보안 등급'과 '실제 침해'의 괴리

금융감독당국이 인정한 최고 등급 기관들이 연이어 해킹 피해를 입으면서, 개인정보보호 실태평가의 신뢰성에 대한 의문이 제기되고 있다. 보안 예산 미집행과 구조적 취약점이 고급 해킹조직의 표적이 되고 있는 것으로 분석된다.

---

최우수 등급의 '허상'…신한은행 사례의 의미

신한은행은 금융위원회 개인신용정보 관리·보호 실태 점검에서 6년 연속 S등급을 획득했다. 국내 금융기관 중 최상위 등급이다. 그런데 반기보고서를 통해 이를 공시한 지 불과 1개월 반 만에 해킹 사고가 발생했다. 약 2만여 건의 개인정보가 유출되면서 고객들의 우려가 커지고 있다.

더 놀라운 점은 보안 예산 집행률이다. 신한은행의 2024년 사이버보안 예산 집행률이 70% 미만으로 드러났다. 이는 실제 보안 투자와 등급 평가 사이의 괴리를 적나라하게 보여준다.

"등급만 높고 실제 보안은 뒷전인가"라는 의문이 자연스럽게 나온다. 높은 등급을 받기 위한 형식적 대응과 실질적인 보안 강화 사이에 큰 격차가 있음을 시사한다.

북한 APT38의 동시다발 공격…'취약점 쏠림' 현상

더 심각한 상황이 2026년 상반기에 펼쳐졌다. 북한 해킹조직 APT38이 PHP 웹셸 취약점을 악용해 국내 금융기관 16곳을 동시에 침해했다. 약 10만 건대의 개인정보가 한 번에 유출되는 대참사였다.

특히 주목할 점은 공격 방식의 효율성이다. 단일 취약점(PHP 웹셸)을 악용하여 16개 기관을 거의 동시에 침해했다는 것은, 금융기관들의 보안 수준이 유사하거나 동일한 약점을 공유하고 있다는 의미다.

동시에 제약사를 대상으로 한 150억원대 랜섬웨어 공격과 AI 기반 신종 피싱 공격까지 확산되는 중이다. 고급 국가 지원 해킹조직들이 더 정교해진 공격 기법을 활용하고 있음을 보여준다.

공통 패턴: '평가 중심'에서 '실제 보안'으로의 전환 필요

두 사례의 공통점은 명확하다:

• 형식적 대응 - 실태평가를 통과하기 위한 최소한의 조치에 머물러 있음
• 예산-집행 괴리 - 책정된 보안 예산을 제때 집행하지 못함
• 표준화된 취약점 - 산업군 전체가 유사한 기술 환경을 사용하면서 동시 침해에 취약
• 고도화된 위협 - APT조직, AI 기반 공격 등 초고도 위협에 대한 대비 부족

기업·기관의 실질적 대응 방안

1단계: 예산 집행의 투명성 강화
- 사이버보안 예산 집행률 목표를 분기별로 관리
- 미집행 사유를 정기적으로 보고

2단계: 주기적 취약점 평가
- 외부 전문기관을 통한 독립적 모의해킹 실시
- 내부 시스템 점검만으로는 부족함을 인식

3단계: 다층 방어 체계 구축
- 제로트러스트(Zero Trust) 아키텍처 도입 검토
- 엔드포인트 탐지 및 대응(EDR) 강화

4단계: 업계 간 정보 공유
- 금융기관들 간 공동 위협 인텔리전스 체계 수립
- 신종 취약점에 대한 즉각적 대응

---

📌 CPPG·ISMS-P 연계 학습 포인트

항목	내용
ISMS-P 관련 기준	보호조치 → 물리적/기술적/관리적 보안 통합<br>신한은행 사례는 '관리적 보안(예산 관리)'의 부재를 보여줌
CPPG 체크리스트	"정보보호 예산을 적절히 편성·집행하고 있는가?" (15-1번)<br>형식적 등급이 아닌 실질적 투자를 강조
시험 출제 포인트	"고도화된 위협(APT)에 대응하기 위한 기업의 의무 사항은?"

---

결론

등급과 실제 보안 능력의 괴리는 더 이상 방치할 수 없는 문제다. 금융감독당국의 실태평가 기준 개선과 함께, 기업들은 '등급 수여'보다 '실제 침해 예방'에 전력해야 한다. 북한 APT38의 동시다발 공격은 단순한 사건이 아니라, 한국 금융산업 전체의 보안 체계를 점검하는 경종이 되어야 한다.