[전문가 기고] 은행권 해킹 '뚫려도 지키는 보안'이 필요하다

변종문 한국인식산업 부대표 최근 은행권에서 해킹과 개인정보 유출 우려를 낳는 사고가 잇따르면서 금융소비자의 불안이 커지고 있다. 금융기관은 계좌와 거래내역뿐 아니라 주민등록번호, 연락처, 인증정보 등 삶과 직결된 민감한 정보를 보관한다. 이런 정보는 한번 유출되면 비밀번호처럼 간단히 바꾸기 어렵고, 보이스피싱·명의도용·불법 대출 같은 2차 피해로 이어질 수 있다. 사고가 발생할 때마다 해당 기관의 문제로만 볼 일이 아니다. 공공기관과 금융권은 지금 즉시 중요정보 보호체계 전반을 다시 점검해야 한다. 보안의 목표도 바뀌어야 한다. 지금까지는 외부 침입을 막는 데 주로 초점을 맞췄다. 물론 침입 차단은 기본이다. 그러나 공격 기술이 인공지능(AI)을 만나 더 빠르고 정교해지는 현실에서, 모든 침입을 완벽히 막겠다는 생각만으로는 충분하지 않다. 시스템 일부가 침해되더라도 국민과 고객의 핵심 개인정보가 쉽게 드러나지 않도록 설계하는 '피해 최소화형 보안'이 필요하다. 첫째, 개인정보를 처리하는 과정에서 평문 노출을 최소화해야 한다. 많은 시스템은 정보를 저장할 때 암호화하지만, 조회·대조·업무처리 과정에서는 암호를 풀어 원래 정보로 다룬다. 금고에 보관한 서류를 업무를 위해 꺼내 놓는 것과 같다. 바로 이때 서버나 메모리가 공격받으면 정보가 노출될 수 있다. 동형암호는 암호를 풀지 않은 상태에서도 필요한 연산과 대조·검증을 가능하게 하는 기술이다. 쉽게 말해 '금고를 열지 않고도 안의 정보가 맞는지 확인하는 방법'이다. 모든 업무에 일괄 적용하기보다 주민등록번호, 계좌 관련 식별정보, 얼굴 특징정보처럼 유출 피해가 큰 정보부터 단계적으로 적용하는 것이 현실적이다. 둘째, 본인확인은 단일 인증에서 벗어나 단말·USIM·얼굴인증을 결합한 복합인증으로 고도화해야 한다. 문자 인증번호나 비밀번호 하나만으로는 스미싱, 유심 교체, 악성 앱, 원격제어, 딥페이크 공격을 막기 어렵다. 통신사 연계를 통해 USIM 또는 eSIM이 정상인지와 무단 교체 여부를 확인하고, 스마트폰 안의 안전한 보안영역에 저장된 단말 고유키로 등록된 기기인지 확인해야 한다. 여기에 사진·영상·합성영상이 아닌 실제 본인임을 가리는 얼굴 라이브니스와 위·변조 탐지를 더해야 한다. 사람, 통신정보, 단말이 함께 일치해야 인증이 완료되는 구조라야 한 가지 정보가 탈취되어도 피해를 막을 수 있다. 셋째, AI를 공격 도구로만 보지 말고 이상징후 탐지의 방어 수단...