핀테크 해킹 대응 나섰지만…“보안 비용 부담에 망분리 문턱 높아”

입력 2026-10-11 09:24:00

은행·저축은행 이어 온투업까지 해킹 확산

핀산협, 8일 해킹 방어 성공·실패 사례 공유

ISMS-P 인증 비용 정부 바우처 지원 목소리

전자금융거래 금액 2조 이상 등 망분리 제약

한국핀테크산업협회가 지난 8일 서울 여의도 One IFC에서 ‘금융권 침해사고 관련 핀테크 업권 대응 사례 공유회’를 개최하고, 최근 금융권 해킹 사고에 따른 보안 취약점과 업계 대응 방안을 논의했다. [한국핀테크산업협회]

[헤럴드경제=김서현·정호원 기자] 금융권을 겨냥한 해킹 사고가 잇따르면서 핀테크 업계도 보안 강화에 나섰다. 금융회사의 정보보호 책임을 강화하는 전자금융거래법(전금법) 개정안은 10개월 넘게 국회에 계류 중인 가운데, 중소 핀테크 기업들은 보안 투자 비용에 대한 정부 지원과 인공지능(AI)을 활용한 보안 대응의 규제 완화가 필요하다는 입장이다.

한국핀테크산업협회는 지난 8일 서울 여의도 One IFC에서 ‘금융권 침해사고 관련 핀테크 업권 대응 사례 공유회’를 개최했다.

이날 공유회에는 전자금융업자와 핀산협 회원사 보안·IT 담당자들이 참석했다. 참석자들은 금융위원회가 핀테크 업계에 자체점검을 요청한 ‘정보기술(IT) 보안 체크리스트’ 주요 내용을 살펴보고, 업계 전반의 보안점검 강화 필요성을 논의했다.

실제 전자금융업자들의 해킹 방어 성공·실패 사례를 바탕으로 구체적인 침해 예방 대책도 다뤄졌다. 가맹점 등 외부 경로를 통한 시스템 접근 시 추가 인증을 강화하고, 공격자 인터넷주소(IP) 차단과 과거 접속기록 확인, 외부 노출 시스템의 취약점 점검, 비정상 접속 모니터링 등을 실시하는 방안이 논의됐다.

김종현 핀산협 회장은 “최근 금융권에서 발생하고 있는 침해사고는 특정 회사나 특정 업권만의 문제가 아니라 금융서비스 전반의 신뢰와 직결되는 사안”이라며 “사고 발생 이후의 대응에 그치지 않고 사전에 위험요인을 확인하고 선제적으로 대응하는 체계를 갖추는 것이 중요하다”고 강조했다.

‘전금법’ 개정 필요성 커지는데…중소 핀테크 “인증비도 부담”

금융권의 보안 강화 필요성이 커지고 있지만 이를 뒷받침할 법 개정은 속도를 내지 못하고 있는 실정이다. 더불어민주당 유동수 의원이 지난해 11월 28일 대표 발의한 전금법 개정안은 올해 3월 국회 정무위원회에 상정됐지만 현재까지 소관위 심사 단계에 머물러 있다.

개정안은 금융회사 최고경영자(CEO)를 전자금융거래 안전성 확보의 최종 책임자로 명시하고 정보보호최고책임자(CISO)의 권한을 강화하는 내용을 담고 있다. 금융회사의 정보보호 투자 및 관리 현황을 공개하는 공시제도 도입도 추진한다.

침해사고로 거래정보나 개인신용정보가 유출될 경우 총매출액의 3% 이하 과징금을 부과할 수 있도록 하고, 취약점 분석·평가 결과에 따른 보완조치 명령이나 시정명령을 이행하지 않을 경우 5000만원 이하의 이행강제금을 부과하는 방안도 포함됐다.

다만 핀테크 업계에서는 영세·중소 업체들의 비용 부담을 고려한 지원책이 필요하다는 목소리도 나온다. 핀테크 업계 관계자는 “중소 핀테크 기업들이 부담을 느낄 만한 것은 사실”이라며 “정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받는 데도 비용이 들어가는 만큼 정부가 바우처 형태로 지원하는 방안 등이 먼저 마련되면 좋겠다”고 말했다.

망분리 규제 풀어도…영세 핀테크엔 여전히 높은 문턱

AI를 활용한 해킹 위협에 대응하기 위한 규제 개선 요구도 있다. AI로 보안 취약점을 신속하게 찾아내려면 외부 AI 서비스 등을 활용할 필요가 있지만, 금융회사의 내부 전산망과 외부 인터넷망을 분리하도록 하는 망분리 규제가 걸림돌로 작용할 수 있다는 것이다.

금융위는 지난달 AI 보안 테스트를 위한 망분리 규제 완화 신청 대상을 기존 49개사에서 75개사로 확대했다. 그러나 최근 금융권 해킹 사고에 대한 대응과 추가 보안 검토를 위해 지난 7일 예정했던 2차 참여 업체 선정은 연기했다.

전자금융업자의 경우 연간 전자금융거래 금액이 2조원 이상이고 관련 매출액이 전체 매출액의 10%를 초과해야 하는 등 일정 요건을 충족해야 해 영세 업체들의 참여에는 여전히 제약이 있다.

한 업계 관계자는 “AI를 활용한 공격에 사람이 일일이 대응하기는 어려운 만큼 방어에도 AI를 활용할 수 있어야 한다”며 “영세 업체들도 관련 기술을 활용할 수 있도록 망분리 규제 완화와 함께 공동망 구축 등 지원 방안을 검토할 필요가 있다”고 말했다.