"올해 AI 기반 사이버 공격 증가 예상…보안 투자 확대해야"
피싱, 디도스(DDoS·분산 서비스 거부) 등 금융산업에 대한 사이버 공격이 지속되면서, 글로벌 금융업계와 당국 간 국제 공조·협력의 중요성도 함께 커지고 있다.
20일 국제금융센터는 ‘글로벌 은행산업의 사이버 공격 특징 및 시사점’ 보고서를 통해 이같이 밝혔다. 보고서는 더욱 교묘해지고 고도화되는 사이버 공격에 글로벌 은행권이 대응하려면 사이버 보안 관련 투자 증가, 규제 대비 관련 부담 증대는 불가피하다고 전망했다.
이러한 사이버 공격의 주요 특징으로 보고서는 랜섬웨어 피해 급증, 공급망을 통한 간접 침투 등을 언급했다. 그러면서 올해부터는 인공지능(AI) 기반 사이버 공격이 함께 늘어날 것으로 예상했다.
은행 산업 대상 사이버 공격의 주요 특징으로 보고서는 랜섬웨어 피해 급증, 공급망을 통한 간접 침투 등을 언급했다. 그러면서 올해부터는 인공지능(AI) 기반 사이버 공격이 함께 늘어날 것으로 예상했다.
랜섬웨어 피해 급증의 경우, 지난해 3분기 기준 금융기관에 침투한 악성코드 중 랜섬웨어(Ransomware)의 비중이 63%로 2022년(18%)에 비해 대폭 상승했다.
보고서는 사이버 범죄자들이 이용하는 서비스형 랜섬웨어(RaaS) 키트가 저렴한 가격에 공급되고 있고, 랜섬웨어 공격에 소요되는 기간이 단 며칠로 줄어들면서 공격의 접근성과 빈도가 갈수록 높아지는 양상을 보인다고 분석했다.
RaaS(Ransomware as a Service)는 사이버 범죄자들이 랜섬웨어를 만들어 타인에게 돈을 받고 배포하는 비즈니스 모델이다. 사용자가 전문지식이 없더라도 비용만 지불하면 악의적인 사이버 공격을 얼마든지 할 수 있다는 것이 특징이다.
보고서는 미국의 국제 랜섬웨어 대응 이니셔티브 공동성명 발표(2023년 11월, 영국 국가안보전략합동위원회가(JCNSS)의 랜섬웨어 공격 위험 경고 보고서 발표(2023년 12월) 등 세계 각국 정부가 랜섬웨어의 심각성을 인식하고 대응을 강화하는 한편, 국제적 공조에도 나서고 있다고 했다.
다음으로 보고서는 은행 업무가 디지털화되고, 제3자 서비스 공급업체에 대한 의존도가 높아지면서 공급망 내 침투를 통한 은행 시스템 공격 또한 증가하고 있다고 언급했다.
공급망 침투는 공급업체들의 보안 수준이 일반적으로 은행보다 낮은 점을 악용해 해당 기업에 저장된 고객 데이터를 유출하거나, 보안 통제에 대한 우회 경로를 만들어 은행 시스템에 접근하는 방식으로 이뤄진다.
이와 관련해 연준 및 ECB를 비롯한 세계 주요국의 금융규제 당국들은 제3자 위험의 효과적인 관리를 위한 지침을 채택했다. 국제 금융감독기관인 금융안정위원회(FSB)도 공급망 위험 관리 지침을 마련해 각국에 제공했다.
보고서는 AI의 발전으로 해킹, 사기, 돈세탁 등 사이버 공격 수행 전술이 빠르게 변모할 가능성이 높다고 경고했다. 이는 은행 등 금융기관이 직면한 사이버 위협의 범위 및 복잡성이 크게 증가할 수 있다고 우려했다.
AI를 악의적 용도로 활용할 경우, 사이버 공격을 자동화해 빈도를 높이고, 더욱 효과적인 악성코드를 생성하며, 기존 데이터와 보안 시스템을 학습해 더 효율적이고 정교한 공격을 가능하게 할 수 있다.
보고서는 고객과 직원들을 대상으로 실제 광고나 이메일 등을 세밀하게 모방한 피싱 공격이 이뤄지거나, 고객의 목소리나 사진, 영상 등을 딥페이크 기술을 통해 생성해 은행의 신원 확인 시스템을 회피하는 금융사고가 세계 각지에서 발생하고 있다고 설명했다.
보고서는 은행들이 사이버 공격에 대한 대비가 아직 충분하지 않다고 우려했다. 관련해 KPMG가 지난해 은행 CEO 142명을 대상으로 실시한 설문조사에서도 ‘사이버 공격에 잘 준비되어 있다’고 응답한 비율은 54%에 불과했다.
보고서는 사이버 공격에 대한 사전 예방이 점점 어려워지는 현실에 맞추어 은행들이 조기 탐지 및 대응을 중심으로 보안 투자를 늘리고, 당국의 관련 규제 강화에 대비할 필요가 있다고 조언했다. [파이낸셜신문=임영빈 기자]
