금융권 정보보호 예산확충ㆍ전문인력 양성 나서야
■ 2009 U뱅킹 콘퍼런스
초고속인터넷망 등 세계 최고 수준의 IT인프라를 보유하면서 실시간 거래가 가능한 전자금융체제는 우리 삶의 일상이 됐다. 가장 대표적인 전자금융거래인 인터넷뱅킹은 일평균 이용금액이 30조원(09년 9월, 한국은행 기준)을 돌파했으며 이용자 수도 5700만명을 넘어서는 등 비대면거래 중 인터넷뱅킹이 차지하는 비중은 점점 커지고 있다. 또 전자상거래 규모도 지난해 기준 621조9000억원에 달하는 등 이제 클릭 한 번으로 다양한 물품을 구매할 수 있는 시대가 됐다.
그러나 이러한 인프라의 고도화와 함께 이를 타깃으로 한 정보보호 위협도 증가하고 있다. 인터넷뱅킹 거래를 노린 해킹이나 신용카드 위ㆍ변조를 통해 금전적 이득을 취하는 것은 이제 전통적인 수법이 된 상황이고, 전자금융 서비스 자체를 마비시키는 분산서비스거부(DDoS) 공격에서부터 온라인 공간을 이용해 돈을 갈취하는 전화금융사기(보이스피싱) 등이 금융권에서의 새로운 정보보호 이슈로 떠오르고 있다.
금융당국과 각 금융사들이 이에 대한 대비책을 마련하면서 적극적인 대응에 나서고는 있으나 `사후약방문(死後藥方文)'격으로 느껴질 만큼 속도가 느리다는 지적이 많다. 때문에 사고 발생 후 보안시스템 보완 등 시설이나 설비적인 측면이 아닌 정보보호 예산 확충 및 전문 보안인력 양성 등 보다 근본적이고 장기적인 대책 마련에 나서야만 금융권에서 지속적으로 발생하고 있는 전자금융사고가 줄어들 수 있을 것이라는 주장이 힘을 얻고 있다.
◇갈수록 증가하는 금융권 타깃 보안위협=금감원에 따르면 지난 8월말 기준 최근 5년간 인터넷뱅킹 사고건수는 총 41건으로 사고금액만 7억880만원에 이르고 있다. ▶표 참조
인터넷뱅킹 등 전자금융거래가 활성화되면서 계속 증가하는 추세로 앞으로도 사고 건수와 금액이 계속 증가할 것으로 전망되고 있다. 일회용비밀번호(OTP)와 보안토큰(HSM) 등의 안전장치가 나오고 있지만 그에 따라 해킹 기법도 진화하고 있어 안심할 수만은 없는 상황이다.
이러한 전통적인 위협 외에 최근 금융권에서 가장 부각되고 있는 위협은 DDoS와 보이스피싱이다. 지난 2006년부터 나타나기 시작, 건수 증가와 함께 수법 고도화로 양적, 질적으로 진화하고 있는 보이스피싱과 지난 2003년 1ㆍ25 대란에 이어 올 7ㆍ7 사태로 금융권의 공포 대상으로 부각된 DDoS에 대한 공포가 엄습하고 있는 것이다. 지난해 미래에셋그룹 사이트를 공격, 이를 중지하는 조건으로 2억원을 요구한 사건이 발생하면서 널리 알려지게 된 DDoS는 지난 7월 7ㆍ7 사태를 계기로 전 국민적인 관심사로 떠올랐다.
◇금융권 보안위협 새로운 물결, DDoS와 보이스피싱=DDoS는 아직도 현재 진행형인 이슈다. 한국인터넷진흥원(KISA)에 따르면 지난 2006년부터 올 9월까지 DDoS 공격 신고는 136건으로 정보보호 업계에서는 신고되지 않은 것까지 감안하면 건수는 더 많을 것으로 분석하고 있다. 지난 7ㆍ7 사태에서 나타났듯이 DDoS 공격은 서비스 자체를 마비시켜 버리기 때문에 해킹으로 인한 정보 유출보다도 짧은 시간에 막대한 피해를 불러올 수 있다. 일 평균 인터넷거래 금액이 30조1688억원인 점을 고려하면 동시 다발적인 DDoS 공격으로 은행들의 인터넷뱅킹 서비스 마비시 피해 규모는 상상하기 어려울 정도다.
보이스피싱은 은행권을 중심으로 위협이 커지고 있는 정보보호 이슈다. 전화가 주요 범죄 수단이 된다는 점에서 엄밀한 의미에서는 전자금융과는 거리가 있어 보이지만 그 수단으로 인터넷뱅킹과 자동화기기(CD/ATM) 등이 활용된다는 점에서 주목할 필요가 있다. 특히 최근에는 보이스피싱에서 진화한 메신저피싱도 등장하고 있어 금융권에서 정보보호 사안으로 주목하고 있다.
경찰청에 따르면 지난 2006년 6월부터 올해 8월까지 발생한 보이스피싱 건수는 1만9480건으로 피해금액만도 1927억원에 달한다. 초기에는 수법이 단순하고 허술한 면(조선족의 어눌한 한국 말씨)이 있었고 피해 금액도 적었으나 지난해부터 수법이 고도화ㆍ지능화되면서 피해건수와 피해금액이 급증하고 있다. ▶표 참조
최근에는 보이스피싱으로 인해 대학교 학비를 피해 본 학생이 자살하는 등 단순한 금전적 사기가 아닌 심각한 사회문제로 대두될 양상이 나타나고 있다.
◇정보보호 예산 확충 통한 전문인력 양성만이 해답=그러나 이러한 증가하는 위협에도 불구하고 정보보호 예산은 턱없이 부족한 상황이다. 정보보호 예산 확충 없이는 시스템 등 설비 도입뿐만 아니라 이를 제대로 활용하는 전문인력 양성도 공염불에 그칠 수밖에 없기 때문이다.
금융감독원에 따르면 국민ㆍ우리ㆍ신한ㆍ하나 등 7개 시중은행의 2009년도 정보보호 예산은 약 375억원으로 전체 IT 예산(약 1조4946억원)의 2.5%에 불과한 것으로 나타났다. ▶표 참조
또 정보보호 전문 인력은 53명에 불과해 전체 IT인력(2075명)의 2.6%밖에 되지 않아 예산과 인력, 모두 심각한 상황이다.
이같은 현실은 금융권뿐만 아니라 모든 사회분야에 공통된 사안이기는 하지만 금전이 오고가는 전자금융거래가 발생하는 금융권에서만큼은 예산 확충과 전문인력 양성에 보다 적극적으로 나서야 한다는 목소리가 높다.
이에 대해 최재환 금융감독원 금융감독서비스총괄 부국장은 "예산과 인력 문제는 각 금융사의 상황이 달라 강제할 수 없다는 것이 어려운 문제"라면서 "현재 권고사항이기는 하지만 지난 9월 금융사의 전체 IT 예산과 인력 중 정보보호분야 확보율을 기존 3%에서 5%이상으로 강화했다"고 말했다. 이어 "또 금융권 내의 정보보호 리스크가 증가하고 있는 것을 감안, 각 금융사의 경영실적 평가시 정보보호 분야 평가 결과를 보다 적극적으로 반영할 수 있도록 할 방침"이라고 덧붙였다.
이홍석ㆍ강진규기자 redstone@
초고속인터넷망 등 세계 최고 수준의 IT인프라를 보유하면서 실시간 거래가 가능한 전자금융체제는 우리 삶의 일상이 됐다. 가장 대표적인 전자금융거래인 인터넷뱅킹은 일평균 이용금액이 30조원(09년 9월, 한국은행 기준)을 돌파했으며 이용자 수도 5700만명을 넘어서는 등 비대면거래 중 인터넷뱅킹이 차지하는 비중은 점점 커지고 있다. 또 전자상거래 규모도 지난해 기준 621조9000억원에 달하는 등 이제 클릭 한 번으로 다양한 물품을 구매할 수 있는 시대가 됐다.
그러나 이러한 인프라의 고도화와 함께 이를 타깃으로 한 정보보호 위협도 증가하고 있다. 인터넷뱅킹 거래를 노린 해킹이나 신용카드 위ㆍ변조를 통해 금전적 이득을 취하는 것은 이제 전통적인 수법이 된 상황이고, 전자금융 서비스 자체를 마비시키는 분산서비스거부(DDoS) 공격에서부터 온라인 공간을 이용해 돈을 갈취하는 전화금융사기(보이스피싱) 등이 금융권에서의 새로운 정보보호 이슈로 떠오르고 있다.
금융당국과 각 금융사들이 이에 대한 대비책을 마련하면서 적극적인 대응에 나서고는 있으나 `사후약방문(死後藥方文)'격으로 느껴질 만큼 속도가 느리다는 지적이 많다. 때문에 사고 발생 후 보안시스템 보완 등 시설이나 설비적인 측면이 아닌 정보보호 예산 확충 및 전문 보안인력 양성 등 보다 근본적이고 장기적인 대책 마련에 나서야만 금융권에서 지속적으로 발생하고 있는 전자금융사고가 줄어들 수 있을 것이라는 주장이 힘을 얻고 있다.
◇갈수록 증가하는 금융권 타깃 보안위협=금감원에 따르면 지난 8월말 기준 최근 5년간 인터넷뱅킹 사고건수는 총 41건으로 사고금액만 7억880만원에 이르고 있다. ▶표 참조
인터넷뱅킹 등 전자금융거래가 활성화되면서 계속 증가하는 추세로 앞으로도 사고 건수와 금액이 계속 증가할 것으로 전망되고 있다. 일회용비밀번호(OTP)와 보안토큰(HSM) 등의 안전장치가 나오고 있지만 그에 따라 해킹 기법도 진화하고 있어 안심할 수만은 없는 상황이다.
이러한 전통적인 위협 외에 최근 금융권에서 가장 부각되고 있는 위협은 DDoS와 보이스피싱이다. 지난 2006년부터 나타나기 시작, 건수 증가와 함께 수법 고도화로 양적, 질적으로 진화하고 있는 보이스피싱과 지난 2003년 1ㆍ25 대란에 이어 올 7ㆍ7 사태로 금융권의 공포 대상으로 부각된 DDoS에 대한 공포가 엄습하고 있는 것이다. 지난해 미래에셋그룹 사이트를 공격, 이를 중지하는 조건으로 2억원을 요구한 사건이 발생하면서 널리 알려지게 된 DDoS는 지난 7월 7ㆍ7 사태를 계기로 전 국민적인 관심사로 떠올랐다.
◇금융권 보안위협 새로운 물결, DDoS와 보이스피싱=DDoS는 아직도 현재 진행형인 이슈다. 한국인터넷진흥원(KISA)에 따르면 지난 2006년부터 올 9월까지 DDoS 공격 신고는 136건으로 정보보호 업계에서는 신고되지 않은 것까지 감안하면 건수는 더 많을 것으로 분석하고 있다. 지난 7ㆍ7 사태에서 나타났듯이 DDoS 공격은 서비스 자체를 마비시켜 버리기 때문에 해킹으로 인한 정보 유출보다도 짧은 시간에 막대한 피해를 불러올 수 있다. 일 평균 인터넷거래 금액이 30조1688억원인 점을 고려하면 동시 다발적인 DDoS 공격으로 은행들의 인터넷뱅킹 서비스 마비시 피해 규모는 상상하기 어려울 정도다.
보이스피싱은 은행권을 중심으로 위협이 커지고 있는 정보보호 이슈다. 전화가 주요 범죄 수단이 된다는 점에서 엄밀한 의미에서는 전자금융과는 거리가 있어 보이지만 그 수단으로 인터넷뱅킹과 자동화기기(CD/ATM) 등이 활용된다는 점에서 주목할 필요가 있다. 특히 최근에는 보이스피싱에서 진화한 메신저피싱도 등장하고 있어 금융권에서 정보보호 사안으로 주목하고 있다.
경찰청에 따르면 지난 2006년 6월부터 올해 8월까지 발생한 보이스피싱 건수는 1만9480건으로 피해금액만도 1927억원에 달한다. 초기에는 수법이 단순하고 허술한 면(조선족의 어눌한 한국 말씨)이 있었고 피해 금액도 적었으나 지난해부터 수법이 고도화ㆍ지능화되면서 피해건수와 피해금액이 급증하고 있다. ▶표 참조
최근에는 보이스피싱으로 인해 대학교 학비를 피해 본 학생이 자살하는 등 단순한 금전적 사기가 아닌 심각한 사회문제로 대두될 양상이 나타나고 있다.
◇정보보호 예산 확충 통한 전문인력 양성만이 해답=그러나 이러한 증가하는 위협에도 불구하고 정보보호 예산은 턱없이 부족한 상황이다. 정보보호 예산 확충 없이는 시스템 등 설비 도입뿐만 아니라 이를 제대로 활용하는 전문인력 양성도 공염불에 그칠 수밖에 없기 때문이다.
금융감독원에 따르면 국민ㆍ우리ㆍ신한ㆍ하나 등 7개 시중은행의 2009년도 정보보호 예산은 약 375억원으로 전체 IT 예산(약 1조4946억원)의 2.5%에 불과한 것으로 나타났다. ▶표 참조
또 정보보호 전문 인력은 53명에 불과해 전체 IT인력(2075명)의 2.6%밖에 되지 않아 예산과 인력, 모두 심각한 상황이다.
이같은 현실은 금융권뿐만 아니라 모든 사회분야에 공통된 사안이기는 하지만 금전이 오고가는 전자금융거래가 발생하는 금융권에서만큼은 예산 확충과 전문인력 양성에 보다 적극적으로 나서야 한다는 목소리가 높다.
이에 대해 최재환 금융감독원 금융감독서비스총괄 부국장은 "예산과 인력 문제는 각 금융사의 상황이 달라 강제할 수 없다는 것이 어려운 문제"라면서 "현재 권고사항이기는 하지만 지난 9월 금융사의 전체 IT 예산과 인력 중 정보보호분야 확보율을 기존 3%에서 5%이상으로 강화했다"고 말했다. 이어 "또 금융권 내의 정보보호 리스크가 증가하고 있는 것을 감안, 각 금융사의 경영실적 평가시 정보보호 분야 평가 결과를 보다 적극적으로 반영할 수 있도록 할 방침"이라고 덧붙였다.
이홍석ㆍ강진규기자 redstone@
