김영기 "핀테크 빅뱅 보안위협, 우리가 막는다"

[이데일리 이재운 기자] 2017년 일련의 해커들은 비트코인 지급을 요구하며 국내 은행 5곳을 대상으로 디도스(DDoS, 분산형 서비스 거부) 공격을 감행했다. 이보다 앞서 2009년 7·7 디도스, 2013년 3·20 사이버 테러, 2014년 카드3사 개인정보 유출 등이 발생하기도 했다. 금융권에 대한 해킹 공격이 끊이지 않고 있다.

네트워크 기술업체 아카마이에 따르면 2017년 11월부터 올해 4월까지 총 18개월의 분석 기간 동안 세계 금융업계를 대상으로 일어난 공격(크리덴셜 스터핑)이 35억건에 달했다. 이와 같이 거친 환경 속에서 국내 금융권의 보안을 지키는 주무기관인 금융보안원의 임무 역시 막중하다. 지난 18일 이데일리가 서울 여의도 사무실에서 김영기 금융보안원장을 만났다.

‘9월까지 182만건’ 해킹 공격 시도에도 “철통방어”

[이데일리 이영훈 기자] 김영기 금융보안원장이 18일 오후 서울 영등포구 여의도동 금투센터에서 이데일리와 인터뷰를 하고 있다.

“잘하는 것 배우겠다고 많이들 찾아오시죠. 서로 배우면서 협력하는게 보안인데, 우리가 잘하는 부분이 많은 모양입니다”

기자와 만난 김 원장은 너털 웃음을 지으며 “많은 기관이 우리를 벤치마킹하고 싶어하고, 우리도 (다른 기관과) 협력을 위해 다양한 방안을 계속 찾고 있다”고 했다. 군은 물론 과학기술정보통신부와 한국인터넷진흥원(KISA), 국가정보원과 국가보안연구소 등 다양한 기관과 끊임없이 만나고 대화하고 있다는 설명이다. 국회 사이버안전포럼의 경우 당초 금융보안원의 자리가 없었으나 정관을 변경해가며 공동대표단에 합류하기도 했다. “과거 전통적인 금융회사만 영위하던 영역을 비금융회사가 영위하는 경우가 늘어나고 있다. 은행 거래의 90%는 온라인 비대면 서비스로, 그중 60%는 모바일로 전부 이뤄지는 상황이다.”

금융보안원은 2015년 4월 통합 출범했다. 기존 금융보안연구원과 금융결제원의 금융ISAC, 코스콤의 증권ISAC 등 연관 조직을 합쳐 사단법인 형태로 만들었다. 이후 금융권 수준의 연봉과 복지로 정보보안 분야에서 가장 처우가 좋은 기관인 동시에, 가장 민감하면서 중요한 금융보안 영역을 맡는다는 자부심이 더해지며 인재가 모여들고 있다.

올해 1월부터 9월까지 자체 관제센터를 통해 대응한 금융권 사이버 공격 건수는 182만건에 달한다. 이를 효과적으로 막고자 빅데이터 분석과 인공지능(AI)을 결합했고, 가상화폐 채굴용 악성코드 유입이나 해킹의심 메일 발송시도 등을 탐지해 차단하는 성과를 올리고 있다. 김 원장은 “기존 침입탐지시스템에서 발견하지 못한 변종·우회 공격을 탐지하고, 나아가 단시간 내에 파일의 유형과 기능을 교차 분석할 수 있는 악성파일 탐지 역량도 최근 강화했다”고 강조했다.

금융보안원 통합보안관제센터 전경. 금융보안원 제공

오픈뱅킹 들어올 핀테크 스타트업에 無비용 보안점검

금융보안원은 올해 ‘오픈뱅킹’ 시대 개막과 함께 중대한 도전에 직면했다. 은행 등 기존 금융사는 물론 작은 규모의 핀테크 스타트업까지 은행 결제망에 접근해 공동으로 이용하는 시대가 온 것이다. 악의적인 도용이나 랜섬웨어 같은 악성코드 배포 등이 이뤄질 경우 전체 금융 체계에 막대한 위험을 끼칠 수 있다. 금융보안원이 핀테크 업체들의 보안 취약점 점검 서비스를 무료로 제공하고 있는 이유이다. 김 원장은 “작은 스타트업이 대부분인 핀테크 업계가 높은 수준의 보안 컨설팅 비용을 감당하기 어렵다. 신성장 산업 육성을 위해 정부가 비용의 75%를 대기로 했다”며 “금융보안원이 나머지 25%를 지원해 핀테크 기업들이 비용 부담 없이 보안 요소를 꼼꼼하게 점검할 수 있도록 지원해 200여개 업체에 서비스를 제공했다”고 설명했다.

스마트폰, 이메일, 전화 등을 이용해 금융기관을 사칭, 송금을 유도하는 등의 ‘피싱’(Phising) 범죄 역시 대응이 중요하다. 금융보안원은 금융감독원, 경찰, KISA 등과 공조해 계속 증가하는 디지털 사기 범죄에 대한 대응도 강화하고 있다고 부연했다. 금융 소비자는 물론 금융기관의 신뢰성까지 위협하는 피싱 차단을 위해 빅데이터 분석과 타 기관 공조 등에도 힘쓰고 있다는 설명이다.

클라우드-블록체인 대응도 주도..표준제정 앞장

[이데일리 이영훈 기자] 김영기 금융보안원장이 18일 오후 서울 영등포구 여의도동 금투센터에서 이데일리와 인터뷰를 하고 있다.

클라우드 활용 확대, 블록체인 기술 접목 등 신기술이 금융권에 속속 도입되면서 이에 대한 도전 역시 거세다. 최근 금융보안원은 KEB하나은행과 KB국민은행, IBK기업은행 등이 요청한 CSP(클라우드 서비스 제공자)에 대한 11건의 안전성 평가를 지원했다. 김 원장은 “KT나 네이버(NBP), 삼성SDS, NHN 등 국내 기업은 물론 아마존웹서비스(AWS), 마이크로소프트(MS) 같은 CSP들이 우리에게 적극적”이라며 “MS가 금융보안원 담당자들을 미국 시애틀 본사로 초청했고, AWS도 부사장급 인사가 금융보안원 등을 찾아 개방과 협력을 논의했다”고 밝혔다.

블록체인 역시 중요한 주제다. 지난해부터 블록체인 주요 용어에 대한 정의와 함께 가장 핵심 개념인 ‘스마트 계약’(Smart Contract)의 취약점 사항을 사전에 점검하고, 주요 금융사와 협력해 금융보안표준을 제정해 그중 일부가 국내표준기구(정보통신기술협회, TTA)를 통해 정보통신 단체표준으로 제정되기도 했다.

김 원장은 “데이터 3법 국회 통과에 발맞춰 금융 관련 빅데이터 거래소를 구축하고 AI 시대에 대비해 금융보안 전문기관으로서 정책수립과 표준 제정 등 보안지원 역할을 차질없이 수행할 수 있도록 하겠다”며 “내년에도 지능정보 기술을 기반으로 금융보안관제체계를 더욱 고도화할 계획”이라고 강조했다.

금융정보보호 콘퍼런스(FISCON) 2019 개회식에서 주요 내·외빈들이 기념촬영을 하고 있다. 금융보안원 제공