KPI뉴스 - [단독]AI해킹에 털린 시중은행 업무망… 알고보니 '취약한 오픈소스' 갖다 썼다

인공지능(AI) 해킹으로 고객 정보가 유출돼 은행권이 홍역을 치르고 있다. 이런 가운데 이들 은행들이 해당 시스템을 '오픈소스(개방형 무료·저가 소프트웨어)'를 활용해 구축됐던 것으로 드러났다. KB국민·신한·하나은행 모두 마찬가지였다. 오픈소스는 상대적으로 보안에 취약하다. 

해커들이 AI 도구를 이용해 공개된 오픈소스의 취약점을 무차별 공략하는 상황에서, 시중은행들이 개발 비용 절감을 이유로 보안 검증이 느슨한 오픈소스를 무분별하게 도입해 정보 유출의 빌미를 제공했다는 비판이 나온다.

9일 금융감독원과 금융권에 따르면, 최근 해킹 피해로 고객 정보가 유출된 국민·신한·하나은행 3곳의 업무지원망 개발 과정에 모두 오픈소스 코드가 적용된 것으로 확인됐다.

금감원 금융보안 담당 관계자는 KPI뉴스와의 통화에서 "해킹 사고가 발생한 3개 시중은행의 업무지원망을 구축할 당시 오픈소스가 활용된 사실을 파악했다"고 공식 확인했다. 피해를 본 3개 은행 측 역시 "전체 시스템이 오픈소스 기반은 아니지만, 개발 과정에서 일부 오픈소스를 가져다 쓴 것은 사실"이라고 인정했다.

이번 사태로 유출된 고객 정보는 신한은행 2만5729명, 국민은행 2210명, 하나은행 89명 등 총 2만8000여 명에 달한다.

주목할 점은 침해 당한 통로가 고객들이 직접 돈을 송금하는 예금·이체 중심의 핵심 금융망(계정계)이 아니라, 내부 직원이나 외부 제휴 인력이 사용하는 '업무지원망'에 집중됐다는 것이다. 국민은행은 직원용 모바일 업무지원시스템, 신한은행은 대출모집인용 조회 서비스, 하나은행은 야외 영업지원시스템(ODS)이 뚫렸다.

보안 규제가 엄격한 고객 거래망에는 값비싼 상용 보안 솔루션을 덧씌운 반면, 상대적으로 감시가 느슨한 업무지원망 개발에는 '가성비'를 앞세워 오픈소스를 끌어다 쓰면서 보안의 사각지대가 발생한 것이다.

오픈소스는 설계도에 해당하는 소스코드가 인터넷에 누구나 볼 수 있도록 공개돼 있다. 최근 해커들이 오픈소스 기반 AI 자동화 도구를 활용해 소스코드 내 보안 허점을 초단위로 무차별 스캔하고 파고드는 상황에서, 오픈소스가 적용된 망은 해커들에게 사실상 '표적'이 될 수밖에 없다는 게 전문가들의 지적이다.

한 데이터베이스(DB) 솔루션 업계 관계자는 "아마존웹서비스(AWS) 등 글로벌 기업이 제공하는 유료 상용 소프트웨어는 막대한 보안 투자로 취약점을 철저히 틀어막는다"며 "반면 오픈소스는 무료이거나 비용이 매우 저렴해 기업들이 선호하지만, 그만큼 보안 검증과 패치 관리에 치명적인 약점이 있다"고 지적했다.

KPI뉴스 취재 결과, 시중은행들 역시 이러한 위험성을 알면서도 '비용 절감'을 위해 오픈소스를 차용한 것으로 나타났다. 해킹 피해를 본 한 시중은행 관계자는 "업무지원망을 개발할 때 전부 자체 개발하거나 비싼 상용 솔루션만 쓰면 비용 면에서 비효율적"이라며 "다른 기업이나 공공기관도 자주 활용하는 방식"이라고 해명했다.

그러나 금융권의 안일한 '비용 우선주의'가 결국 수만 명의 고객 개인정보를 담보로 잡았다는 지적을 피하기 어렵다. 또 다른 보안업계 전문가는 "국내 금융사들은 여전히 보안 예산 지출을 투자가 아닌 불필요한 비용으로 인식하는 경향이 짙다"며 "감독당국 역시 핵심 망뿐만 아니라 부수적인 업무지원망의 오픈소스 도입 실태와 보안성 심의 기준을 대폭 강화해야 한다"고 말했다.