금융위원회는 2026년 11월 5일 이억원 위원장 주재로 금융감독원·금융보안원과 은행·증권·보험 등 전통적 금융업권 및 가상자산·전자금융·온투업까지 포함한 전 금융권 협회장들과 함께 'AI시대 보안체계 혁신을 위한 全 금융권 간담회'를 개최하였다.

이번 간담회는 갈수록 거세지는 AI 해킹 등 새로운 침해위협에 맞서 우리 금융권이 튼튼한 보안체계를 확립하기 위한 다양한 실천과제와 제도개선 사항 등을 논의하기 위해 마련되었다.

간담회에는 국조실, 과기부, 행안부, 개보위, 방미통위, 경찰청, KISA 등 관계부처와 기관도 참석하였다.

일시는 2026년 11월 5일 목요일 오전 9시였으며, 장소는 금융보안원 여의도 분원이다.

참석자에는 금융위원회 이억원 위원장, 디지털금융정책관, 금융감독원 수석부원장, 디지털·IT부원장보, 금융보안원장, 사이버대응본부장, 금융AI보안연구소장 등이 포함되었다.

또한 은행연합회, 생명보험협회, 손해보험협회, 금융투자협회, 여신전문금융협회, 저축은행중앙회, 신협·농협·수협·새마을금고 중앙회, 핀테크산업협회, DAXA, 온투협회 협회장과 민간 기술자문단도 참석하였다.

금융권 침해사고 현황에 따르면, 금융권 침해사고가 확인된 지난 9월 30일 이후 현재(11월 3일 기준)까지 총 37개사에서 40건의 침해사고가 신고되었다.

은행·보험·증권 등 전통적인 금융업권뿐 아니라, 가상자산업, 전자금융업, 온투업 등 전 업권에서 침해사고가 신고되었으며, 지난 10월 14일 전 금융권 체크리스트 점검이 완료된 이후에는 주로 중소규모 증권·보험사나 전자금융업, 온투업, 가상자산거래소 등의 침해사고가 많이 보고되고 있다.

침해사고에 따른 정보유출 규모는 현재까지 약 47.3만건으로 파악되었으며, 주로 임직원 정보나 고객 성명, 주민등록번호, 계좌번호 등 금융회사 영업과정에서 수집한 정보들이 많았다.

계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았다.

정부는 각 금융회사들이 고객 정보유출 사실 통지, 피해 발생 시 배상 등 소비자 보호 조치에 만전을 기하도록 관리·감독하고 있으며, 이상거래 모니터링 강화, 소비자 경보 발령·행동요령 발표(10월 6일) 등 2차 피해 방지를 위한 대응도 긴밀히 취하고 있다.

일부 소규모 가상자산거래소·전자금융업자·온투업자의 경우에는 회사가 관리하는 자금이 탈취되는 사고도 발생하였으며, 자금탈취 규모는 현재까지 약 10억원 수준으로 신고되었다.

주로 가상자산 핫월렛, 소비성 포인트, 온투업 예치금 등 회사에서 고객자금을 통합 관리하는 계정에서 자금이체가 발생한 것으로, 개별 이용자의 자금손실이 아직 현실화되지는 않은 것으로 파악되고 있다.

전자금융거래법에는 침해사고 등으로 고객 손해 발생 시 무과실 배상책임이 규정되어 있으며, 가상자산 이용자 보호법에는 보험가입·적립금 마련 등 소비자 보호 조치가 규정되어 있다.

금융위원회와 금융감독원은 이러한 제도적 장치 등을 바탕으로 소비자 보호 조치가 면밀히 이루어지도록 지도·감독하고 있으며, 추가적인 자금탈취 사고가 발생하지 않도록 가상자산업권 등에 철저한 관리 조치를 주문하였다.

금일 회의에서는 금융권의 보안관리상 허술한 점을 꼼꼼히 바로잡고, 소비자 2차 피해가 없도록 방비를 든든히 하며, 나아가 AI시대에 걸맞는 '新 보안체계'를 구축하기 위한 대응방안을 심도 있게 논의하였다.

첫째, 보안취약점에 대한 빈틈없는 점검과 제도개선에 즉시 착수한다.

전 금융권 외부접점·내부통제 체계 전면 전수점검이 실시되며, 은행·보험·증권 등 전통적 금융업뿐 아니라, 전금업, 온투업 및 전자금융거래법 적용대상이 아닌 가상자산업권까지 포함한 전 금융업권이 전수점검 대상에 포함된다.

약 580여개사 금융회사·전금업자·가상자산사업자 등이 전수점검 대상에 포함되며, 홈페이지 등 대고객 서비스뿐 아니라, 직원관리, 내부업무, 제휴업무 등 외부에서 접근 가능한 모든 업무영역에 대해 점검이 진행된다.

금융회사는 외부접점 전수점검 과정에서 고객·금융회사의 금전피해로 이어질 수 있거나 개인정보 유출이 우려되는 중요한 취약점이 확인되는 경우 즉시 서비스를 중단하고 외부접속을 차단해야 한다.

즉시 보완이 어렵고 중요한 서비스 제공에 직접 관련된 경우에 한해, 면밀한 대체통제 시스템을 갖추고 CEO의 승인을 받은 엄격한 조건 하에 서비스를 재개할 수 있으며, 이 경우에도 취약점 보완, 장비 교체 등 근본적인 개선조치를 최대한 신속히 취해야 한다.

금융회사가 자체점검을 실시하되, 점검상 문제 없는 경우라도 점검내용, 방식, 판단사유 등을 상세히 적시해야 하며, 점검내용이 부실하다고 판단되거나 중대한 취약점이 발견된 경우에는 금융감독원·금융보안원에서 직접 현장점검을 실시할 계획이다.

금융회사들이 전수점검에 성실하게 임하도록 전수점검 과정에서 발견되는 취약점이나 그간의 관리 부실사항에 대해서는 즉각적·면밀한 보완조치를 전제로 최대한 유연하게 처리할 계획이다.

다만, 전수점검 이후에 침해사고가 발생하는 경우에는 그간의 점검이 제대로 이루어졌는지까지 꼼꼼히 따져 엄정히 책임을 묻도록 할 방침이다.

관리대장에 등재되어 있는 시스템상 외부접점 전수점검은 최대한 신속히 추진하여 11월 30일까지 마무리 지을 계획이며, 관리대장에 등재되지 않은 미등재 시스템에 대한 전수점검과 CEO·CISO 등 내부통제체계 전반에 대한 전수조사도 조속히 추진하여 12월 31일까지 마무리 지을 방침이다.

아울러, 이번에 추진하는 전수점검 결과를 바탕으로 전 금융권이 효과적인 보안 내부통제 시스템을 갖출 수 있도록 '보안 내부통제 가이드라인'을 2027년 1분기 중 마련·시행할 계획이다.

둘째, 금융권 공동 해킹 관제시스템 고도화가 추진된다.

AI를 통한 침해시도가 빠르고 광범위하게 전 금융권을 위협할 가능성이 제기되는 만큼, 각 개별 금융회사들이 각자 파악한 침해시도 정황·내용 등을 최대한 신속하게 전 금융업권에 전파하는 시스템도 신속하게 구축할 예정이다.

현재 금감원(FIRST)·금보원(FCTI) 관제시스템이 운영중이나, 금감원·금보원 차원에서 파악한 위협정보만 공유되고 있다.

구체적으로, 유의미한 공격정보 탐지·공유능력을 갖춘 대형 금융회사는 자체 관제 관점에서 탐지한 공격방식, 공격자 IP, 악용된 취약점, 악성코드 정보 등을 선제적으로 대응할 수 있도록 통합관제시스템(FIRST)을 활용해 전 금융권에 신속히 전파하고, 이를 공유받은 금융회사들은 자체적인 침해사고 대응, 취약점 보안 등 업무에 이를 적극 활용할 수 있도록 할 예정이다.