“3개월만 점검하고 이상 없다?”…금융권 해킹 대응 허점 도마에

[이데일리 최정훈 기자] 최근 금융권 해킹 사고와 관련해 금융당국의 긴급 보안점검이 점검 대상 기간과 근거자료를 충분히 확인하지 못한다는 지적이 나왔다. 금융회사마다 점검 기간이 달라 같은 ‘이상 없음’ 보고라도 신뢰도에 차이가 있을 수 있다는 것이다.

이억원 금융위원장이 8일 국회에서 열린 국정감사에서 답변하고 있다.(사진=노진환 기자)

김형연 조국혁신당 의원은 8일 국회 정무위원회 국정감사에서 “일부 은행이 3개월치만 점검하고 이상이 없다고 보고하고 있다”며 “3개월을 점검한 ‘이상 없음’과 1년을 점검한 ‘이상 없음’은 동일하지 않다”고 지적했다.

김 의원에 따르면 이번 신한은행 해킹에 사용된 인터넷주소(IP)는 올해 1월에도 인터넷은행 두 곳에 접속한 흔적이 있었다. 의원실이 당국이 공유한 공격 IP를 토대로 확인한 결과, 두 곳에서 모두 1월 24일 접속 이력이 발견됐다는 설명이다.

김 의원은 “동일 IP를 동일인으로 단정할 수는 없다”면서도 “1월의 움직임이 사전 정찰이었을 가능성을 배제할 수 없다”며 점검 범위를 최소 1년으로 확대해야 한다고 주장했다.

금융감독원이 금융회사에 배포한 점검표의 실효성도 문제 삼았다. 침해 시도와 피해 여부를 확인하도록 하면서도 점검 대상 기간을 명시하지 않아 금융회사마다 다른 기준으로 답할 수 있다는 것이다. 실시간 보안관제 체계 운영 여부 역시 체계가 실제로 작동했는지를 확인하기에는 부족하다고 지적했다.

김 의원은 신한은행의 피해 서비스가 보안관제 대상이었지만 이상 징후를 발견한 곳은 보안 부서가 아닌 개발 부서였다고 밝혔다. 현대캐피탈도 9월 27일 새벽 침해가 발생한 뒤 10월 2일에야 다른 기관의 해킹 사고와 관련된 IP 접근 이력을 확인하는 과정에서 사고를 파악했다고 설명했다.

이억원 금융위원장은 점검표와 관련해 “이번 사태가 나고 나서 12개 항목을 빨리 점검해보라고 한 것”이라며 “이것 말고도 추가로 점검해야 한다”고 답했다. 이어 은행권 등의 점검 결과를 받아 전체 상황을 살펴보고 추가 점검을 진행하겠다는 취지로 설명했다.