[국내보안뉴스] 은행권 모의해킹 취약점 109건 방치… 실적 상승 속 보안 투자는 감소
최근 국정감사 자료를 통해 국내 주요 은행들의 금융 보안 관리 실태가 드러났습니다. 국회 정무위원회 박상혁 의원이 공개한 자료에 따르면, 최근 5년간 20개 시중은행이 진행한 모의해킹 결과 총 4,777건의 보안 취약점이 발굴되었으나 이 중 109건은 여전히 미조치 상태로 방치된 것으로 확인되었습니다. 더욱이 은행권이 연일 최고 실적을 경신하며 거대한 이익을 올리고 있음에도 정보보호 투자 금액은 오히려 5.9%가량 줄어들어, 금융권의 보안 불감증에 대한 우려가 커지고 있습니다.
이러한 취약점 방치와 보안 투자 축소는 대규모 금융 침해 사고로 직결될 수 있는 위험성을 내포하고 있습니다. 미조치된 보안 구멍은 해커들의 주요 공격 통로로 악용될 수 있으며, 이를 통해 금융 시스템 마비, 고객의 개인정보 및 금융 자산 유출, 보이스피싱 연계 등 치명적인 피해를 야기할 수 있습니다. 특히 금융 인프라는 국가 핵심 기반 시설인 만큼, 시중은행의 보안 약점은 금융 시스템 전반의 신뢰도를 떨어뜨리고 국민 전체의 안전을 위협하는 결과를 초래합니다.
금융기관은 모의해킹을 단순한 형식적 절차로 치부하지 말고, 발견된 취약점에 대한 즉각적인 이행 점검과 패치 작업을 최우선 과제로 다루어야 합니다. 이와 함께 수익 규모에 부합하는 수준으로 정보보호 예산을 증액하고 전문 인력을 지속적으로 확충하여 사이버 위협 대응력을 강회해야 합니다. 금융 감독 당국 또한 은행들의 보안 취약점 개선 여부를 엄격히 감시하고, 이행이 부실할 경우 강력한 제재를 가하는 등 실효성 있는 감독 체계를 조속히 마련해야 할 것입니다.
모의해킹에서 발굴된 취약점이 109건이나 미조치로 남아있다는 건, 개발 현장에서 보안 패치가 백로그의 우선순위에서 계속 밀리고 있다는 명백한 방증입니다. 예산 감축은 결국 DevSecOps 도입과 레거시 시스템 재설계를 지연시켜 단순 코드 수정을 넘어선 구조적 위험을 키우게 됩니다. 보안을 일회성 점검 대상이 아닌 CI/CD 파이프라인 내 자동화된 패치 프로세스와 아키텍처 수준의 방어 기제로 내재화해야 합니다.
모의해킹에서 지적된 109건의 미조치 취약점은 공격자 입장에서 최소한의 공수로 내부망 진입을 허용하는 최적의 초기 침투(Initial Access) 경로입니다. 특히 보안 예산이 감축되면 패치 관리와 위협 모니터링에 공백이 생겨, 방치된 취약점을 통한 권한 승격 및 횡적 이동(Lateral Movement) 위험성이 급증합니다. 금융권은 단 하나의 허점만으로도 치명적인 대규모 정보 유출이나 시스템 마비로 이어질 수 있는 만큼, 단순 진단을 넘어 '신속하고 완전한 조치'에 우선순위를 두어야 합니다.
모의해킹으로 발굴된 취약점을 미조치 상태로 방치하는 것은 단순한 기술적 결함을 넘어 조직의 심각한 운영 및 평판 리스크를 초래합니다. 실적 개선에도 불구하고 보안 투자를 줄이는 것은 거버넌스 차원에서 정보보호를 여전히 ‘필수 투자’가 아닌 ‘절감 가능한 비용’으로 인식하고 있음을 보여주는 안타까운 단면입니다. CISO 관점에서 미조치 취약점에 대한 이사회 보고 및 즉각적인 조치 프로세스를 의무화하고, 비즈니스 성장에 부합하는 지속적인 보안 투자 정책을 확립해야 합니다.