[사설]사전 경고에도 뚫린 '금융 IT 보안'

은행 3군데(신한ㆍ농협ㆍ제주)와 방송사 3군데(KBSㆍMBCㆍYTN)의 전산망을 교란한 3ㆍ20 해킹 사건은 결코 불가항력적인 것이 아니었음이 드러나고 있다. 정보기술(IT) 보안 전문가들에 따르면, 해킹 기술과 보안 실태의 측면에서 이번과 같은 사건에 대한 사전 징후와 경고가 그동안 꾸준히 있었다. 주의와 대비만 충분했다면 얼마든지 이번 사건을 예방할 수 있었다는 얘기다.

특히 은행권의 경우에는 최소한 2년 전부터 국내외 관련 전문가들이 이번 사건과 같은 '지능형 지속공격(APT)'의 발생 가능성과 위험성을 경고해 왔다. 예컨대 2011년 여름 미국에서 뱅크 오브 아메리카 주최로 열린 '금융사 보안전문가 회의'에서는 APT 공격이 '오늘날 가장 위협적인 사이버 테러 방식'으로 지적됐을 뿐 아니라 "이 방식의 공격 사례가 자주 보고되고 있으니 공동대응이 필요하다"는 의견도 제시됐다. 한국금융연구원은 지난해 초 발간한 보고서를 통해 이 같은 내용을 간략하게나마 국내에 전했다.

북한의 전쟁위협 때문이기는 했지만, 금융감독원도 올해 들어 7차례 이상 금융권에 IT보안 경고를 보냈다. 이번 사건이 발생하기 하루 전인 지난 19일에도 금융감독원은 금융회사들의 정보ㆍ보안 담당자들을 소집해 철저한 대비를 주문했다. 결과론이긴 하지만, 이번 해킹에 당한 은행들은 이런 경고와 주문을 심각하게 받아들여 완벽한 대비를 하지 않은 셈이다. 물론 금융감독원도 경고와 주문에 치중했을 뿐 현장점검을 비롯한 보다 적극적인 조치를 취하지 않았다는 점에서 면책될 수 없다.

이번 사건에서는 다행히 아직까지 은행의 고객 정보나 금전의 유출은 일어나지 않았다. 그러나 이번 사건으로 은행 내부 관리자 서버도 해커들에게 쉽게 이용당할 수 있음이 확인됐다. 따라서 앞으로 유사한 해킹 사건이 재발할 경우에도 금전 유출이 없으리란 보장이 없다. 은행 전산망은 보안에 구멍이 뚫릴 경우 연계 결제망을 통해 금융권 전체에 걸쳐 금전상의 피해를 일파만파로 확산시킬 수 있다. 이번 사건을 계기로 금융 IT보안 체계를 대폭 강화해야 한다. 금융위원회가 금융 IT보안 강화를 위해 국회에 제출한 '전자금융거래법 개정안'이 1년이 넘도록 논의조차 안 된 상태로 방치되고 있다. 국회는 이 법안부터 처리해야 한다.