[AI, 금융권 '약한 고리' 노린다]① 4대 은행 보안인력 91.9명…GA 1.3명·캐피털 7명 보안 투자 늘려도 인력·예산 '절대 규모' 한계 저가 AI로 공격력 강화…중소형사 '보안 비대칭' 망분리 완화에도 중소형사 AI 방어 소외 생성형 AI 확산으로 사이버 공격 역량이 빠르게 상향 평준화되고 있지만 중소형 금융사의 방어력은 이를 따라가지 못하고 있다. 대형 금융사보다 보안 인력과 투자 규모가 크게 뒤처지는 데다 금융망의 연결성이 높아지면서 이들의 취약점이 금융권 전체의 위험으로 번질 가능성도 커졌다. 보안 책임을 개별 금융사에 맡겨두는 방식에서 벗어나 중소·영세 금융사의 방어력을 끌어올려 금융권 전반의 '보안 비대칭'을 줄여야 한다는 지적이 나온다. 은행 보안인력 100명 육박할 때 GA 1명…투자 비중 높여도 절대 규모 한계 14일 한국인터넷진흥원(KISA)에 따르면 올해 정보보호 공시 기준 신한저축은행의 정보보호 전담인력은 6.1명으로 나타났다. 웰컴저축은행은 7.8명, 롯데캐피탈은 7명으로 모두 한 자릿수였다. 금융회사들은 의무 또는 자율적으로 정보보호 투자액과 전담인력 등을 KISA에 공시하고 있다. 금융회사 간 규모 차이를 감안하더라도 4대 시중은행(KB국민·신한·하나·우리은행)의 평균 전담인력인 91.9명은 물론 금융·보험업 전체 평균인 25.9명과도 격차가 크다. 정보보호 투자액에서도 차이가 뚜렷했다. 신한저축은행은 올해 11억5130만원, 웰컴저축은행은 37억5180만원, 롯데캐피탈은 26억3800만원으로 금융·보험업 평균(95억5200만원)과 4대 은행 평균(384억4180만원)에 크게 못 미쳤다. 반면 전체 IT 투자액에서 정보보호 투자가 차지하는 비중은 신한저축은행 9.8%, 웰컴저축은행 15.8%, 롯데캐피탈 9.4%로 모두 4대 은행 평균(8.5%)보다 높았다. 보안에 배분하는 몫이 작지 않더라도 전체 IT 예산과 인력 자체가 대형사보다 제한적이다 보니 실제 확보할 수 있는 방어 자원의 절대 규모에는 한계가 있는 셈이다. 법인보험대리점(GA) 등으로 내려가면 보안 사각지대에 대한 우려는 더 커진다. 코스닥 상장사이자 대형 GA인 인카금융서비스조차 올해 정보보호 전담인력은 1.3명, 투자액은 2억4360만원에 그쳤다. 2023년부터 2025년까지 3년 연속 전담인력 1명을 유지하다 올해 소폭 늘어난 수준이다. 반면 올해 상반기 기준 소속 보험설계사는 2만4725명에 달하고, 여러 보험사와 모집위탁 계약을 맺어 고객의 개인·신용정보를 대량으로 취급한다. 비교적 규모가 크고 상장까지 한 GA의 정보보호 전담인력이 1명대라는 점을 감안하면 소형 GA나 자산운용사, 대부업체 등 더 작은 금융회사의 보안 여건은 한층 취약할 가능성이 크다. 회사 규모가 작아지면 보안에 투입할 자원은 줄지만 이들이 취급하는 개인·신용정보의 민감도까지 낮아지는 것은 아니라는 게 문제다. 더욱이 보안 비용은 회사 규모가 작다고 해서 비례해 줄어들지 않는다. 외부 침입과 이상징후 탐지, 취약점 점검 등에 필요한 보안 장비와 솔루션에는 상당한 비용이 들고 이를 운용할 전문인력도 필요하다. 보안 투자 비중을 높이는 것만으로 대형사와 같은 수준의 방어력을 갖추기 어려운 구조다. 금융권 관계자는 "영세한 회사일수록 자체적으로 보안 장비와 전문인력을 갖추기 어려운 게 현실"이라며 "일부 운용사 등에서는 랜섬웨어 사고가 발생해도 해커에게 돈을 지급해 자체적으로 해결하고, 소형 가상자산업체 중에서는 북한 해커의 공격으로 자산을 탈취당한 뒤 파산하는 사례까지 있는 것으로 안다"고 전했다. AI로 공격 역량 상향 평준화…커지는 보안 비대칭 생성형 AI 확산은 중소·영세 금융사에 특히 큰 위협으로 부각되고 있다. 과거 상당한 전문성이 필요했던 취약점 탐색이나 공격 코드 작성 등을 AI가 보조하면서 중·저숙련 공격자도 빠르게 공격 역량을 끌어올릴 수 있게 됐기 때문이다. 공격의 기술적 진입장벽은 낮아지는 반면 소형 금융사의 방어력은 단기간에 높이기 어려워 보안 비대칭이 커지는 셈이다. AI를 활용한 사이버 공격도 빠르게 늘고 있다. IBM에 따르면 지난해 3월부터 올해 2월까지 조사한 악의적 데이터 침해사고 4건 중 1건에서 AI가 공격에 활용됐다. 전년보다 56% 증가한 수준이다. 최근 PG사 관련 정보 유출 사고는 촘촘하게 연결된 금융망이 위험의 전파 경로가 될 수 있음을 보여준다. 대형 카드사의 전산망을 직접 공격하지 않더라도 결제 과정에서 연결된 사업자의 취약점을 통해 카드사 고객의 결제정보까지 노출될 수 있기 때문이다. 개별 대형 금융사의 보안 강화만으로 금융 생태계 전체의 위험을 차단하기 어려운 이유다. 금융당국도 금융사의 보안용 AI 활용을 지원하기 위해 망분리 규제를 단계적으로 완화하고 있다. 금융위원회와 금융감독원은 관련 규제 예외 신청 자격을 1차 총자산 10조원·상시 종업원 1000명 이상에서 2차 각각 2조원·300명 이상으로 낮췄다. 방향 자체는 긍정적이지만 여전히 자산과 인력 등 회사 규모에 따라 문턱을 두면서 정작 방어력이 부족한 소형 금융사가 AI 방어 도구 도입에서 소외되는 '미스매치'가 발생한다는 지적이다. 사이버 공격 위험이 자산 규모에 비례하지 않는 만큼 개별 금융사의 투자 여력에 보안을 맡기는 현재의 '각자도생' 방식에는 한계가 있다는 평가다. 꼭 봐야 할 주요 뉴스 "이번 추석 너무 짧아, 월요일도 쉬자"…28일 임시...채상미 이화여대 경영학부 교수는 "금융 생태계는 API와 오픈뱅킹으로 촘촘히 엮여 있어 가장 취약한 고리가 뚫리면 대형 금융사로 위험이 전이될 수 있다"며 "금융권 전체의 보안을 강화하고 중소 금융사의 생존형 방어권을 보장하기 위해 AI 수비 도구를 활용하도록 해 보안 사각지대를 해소해야 한다"고 밝혔다. 문채석 기자 [email protected] 이은주 기자 [email protected] <ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제. 무단전재 배포금지, AI 학습 및 활용 금지>