금융권 보안 위협이 갈수록 정교해지는 가운데 금융보안원이 올해 전자금융기반시설 취약점 점검 범위를 넓히고, 금융회사 보안 담당자들과 최신 점검 기준 및 공격 사례를 공유했다.
금융보안원은 지난 20일 서울 여의도 금융투자협회 불스홀에서 사원사 정보보호 담당자 등을 대상으로 ‘2026 취약점 분석·평가 정보공유 세미나’를 열었다고 23일 밝혔다. 이번 행사는 개정된 취약점 평가 기준과 최근 보안 이슈를 현장 실무자들에게 설명하기 위해 마련됐다.
이날 세미나에서는 올해 취약점 분석·평가 추진 방향이 중점적으로 소개됐다. 금융보안원은 법령에 따라 매년 사원기관의 전자금융기반시설을 대상으로 취약점 분석·평가를 수행하고 있으며, 올해는 종합점검과 단독 점검, 공개용 홈페이지 점검 등을 포함해 178개 금융회사를 대상으로 관련 업무를 진행하고 있다.
올해부터는 점검 범위도 한층 넓어졌다. 전자금융기반시설 취약점 분석·평가 기준은 지난해 14개 분야 789개 항목에서 올해 15개 분야 869개 항목으로 확대됐으며, 특히 클라우드 환경에 적용할 수 있는 세부 점검 기준이 새로 포함되고 망분리 환경에 대한 점검 강도도 높아졌다.
아울러 금융보안원은 올해 평가 과정에서 공개용 홈페이지의 인증 취약점과 모바일 애플리케이션 내 중요 정보 노출 여부 등을 중점적으로 들여다볼 계획이다. 디지털 금융 서비스가 빠르게 확대되는 상황에서 실제 위험이 발생할 가능성이 큰 부분을 중심으로 점검의 초점을 맞춘 것이다.
세미나에서는 금융보안원의 전문 모의해킹 조직(RED IRIS)의 업무와 실제 사례도 함께 공유됐다. RED IRIS는 금융권의 주요 보안 취약 지점을 점검하는 조직으로, 이날 발표에서는 망분리 체계가 구축된 환경에서도 내부와 외부의 취약점이 결합되면 보안 장벽이 무너질 수 있다는 점을 사례 중심으로 설명했다.
특히 ▲내부 정보 유출 ▲업무망 침투 ▲클라우드를 활용한 정보 반출 등 3가지 형태의 침투 시나리오가 소개됐다. 이는 단순히 망을 분리하는 조치만으로는 충분하지 않을 수 있으며, 취약점이 복합적으로 연결될 경우 실제 침해사고로 이어질 수 있다는 점을 보여준 사례라는 설명이다.
금융보안원은 이와 함께 RED IRIS의 분석 내용을 담은 ‘레드아이리스 인사이트 리포트’도 공유했다. 보고서에는 망분리 우회 방식과 주요 취약 경로, 대응 시 유의해야 할 사항 등이 담겨 금융회사 실무자들의 대응 역량 강화에 도움이 될 것으로 기대된다.
박상원 금융보안원장은 “사이버 위협이 빠르게 고도화되는 상황에서 취약점을 미리 찾아내고 보완하는 일이 금융 신뢰를 유지하는 데 매우 중요하다”며 “앞으로도 보안 평가 체계를 지속적으로 정비하고, 사원기관에 대한 점검 및 기술 지원을 넓혀 안전한 디지털 금융 환경 조성에 힘쓰겠다”고 말했다.
