금융권 해킹 잇따라…美연준은 서드파티 직접 감독

ZDNet Korea·2026-10-30주요

요약

대신증권, 미래에셋생명 등 국내 금융투자·보험사에서 해킹과 개인정보 유출 사고가 잇따라 발생했다. 해커들은 본사 핵심 시스템 대신 대출모집인 조회 시스템, 외주 개발직원용 웹, 모바일 업무 포털 등 서드파티 접점을 우회 통로로 삼았다. 미국 연방준비제도는 '제3자 리스크 관리 가이드라인(SR 23-4)' 개정안을 내고, 형식적 서면 점검표 대신 클라우드·AI·핵심 외주사 등 고위험 서드파티를 실시간·지속적으로 감시하도록 했으며, 은행서비스회사법(BSCA)을 바탕으로 외주 IT·SaaS 업체에 직접 감사 권한을 행사한다. 반면 한국의 전자금융감독규정은 보안서약서 수령과 연 1회 서면 점검 등 정적 컴플라이언스에 머물러 있어, 전문가들은 제로 트러스트와 공급망 통제 체계로의 전환이 필요하다고 지적한다.

큐레이터 노트

원문에 없는 맥락입니다

미 연준 방식은 외주업체에 보안 책임을 전가하지 못하게 하고 감독기관이 직접 감사하는 구조라는 점에서, 연 1회 서면 점검에 머문 국내 체계와 대비된다.

깊이 읽기

이 기사 한 건이 아니라, 같은 사안을 다룬 이 사이트의 기록을 근거로 정리했습니다

이 일이 어디서 왔나

9월 말 신한은행 고객정보 유출에 이어 대신증권, 미래에셋생명 등에서 해킹 사고가 잇따르면서 금융위원회는 555개 금융사를 긴급 점검해 130곳에서 미흡 사항을 확인했다. 보안 업계에서는 제로 트러스트 확장 필요성이 거듭 제기돼 왔는데, 이번 기사는 그 공백이 '서드파티' 영역에 있음을 구체적으로 짚는다.

짚어야 할 점

해커들이 겨냥한 지점은 본사 핵심 시스템이 아니라 대출모집인 조회 시스템, 외주 개발직원용 웹, 모바일 업무 포털 등 주변부 접점이었다는 점이 핵심이다.
미 연준은 서면 점검표 방식을 버리고 클라우드·AI·핵심 외주사를 실시간 감시하며 법적 감사 권한까지 행사하는 반면, 한국은 보안서약서와 연 1회 서면 점검에 머물러 있어 대응 방식의 격차가 크다.
티빙 사고(개발자 접속키 탈취)나 AI 에이전트 확장 논의 등 앞선 보도들이 지적한 '제로 트러스트를 어디까지 넓혀야 하나'라는 질문이, 이번엔 공급망·외주업체 영역으로 구체화된 셈이다.

아직 확인되지 않은 것

금융위가 확인한 130곳의 미흡 사항이 실제로 대출모집인 조회 시스템이나 외주 개발 포털 같은 서드파티 접점과 관련이 있는지는 확인되지 않았다.
한국 금융당국이 미 연준의 BSCA식 직접 감사 권한이나 실시간 감시 체계를 도입할 계획이 있는지에 대한 자료는 나오지 않았다.
전자금융감독규정 개정이 실제로 추진되고 있는지, 추진된다면 시행 시점은 언제인지 확인되지 않았다.

다른 매체는 이렇게 썼다

같은 사안을 다룬 다른 곳의 보도입니다

금융권 연계시스템 보안 허점…망분리 완화 기준 과제

전자신문 IT · 2026-11-01

전자신문이 금융·제조·IT·공공 4개 분야 보안 실태를 살펴보는 '보안긴급진단' 기획 시리즈를 시작했다. 첫 회는 금융권으로, 잇따른 침해사고를 계기로 외부 연계 시스템에 대한 보안관리 허점이 지적됐다. 금융회사들이 핵심 업무 시스템 보안에 집중해온 반면 연계된 외부 자산 관리에는 공백…

한은, AI 업무망 보안 검증 위해 모의해킹 실시

전자신문 IT · 2026-11-01

한국은행이 11월부터 12월까지 망 분리 개선 시스템에 대한 보안 취약점 점검에 나선다. 외부 해커가 직원 PC를 장악한 뒤 내부 시스템에 침투해 정보를 유출하는 상황을 가정한 모의해킹 방식이다. 이는 인공지능(AI) 활용을 위해 망 분리 방식을 개선한 업무환경이 실제 사이버 공격에도 …

쿤텍, AI 모델 탈취·에이전트 오작동 막는 융합보안 기술 고도화

전자신문 SW · 2026-10-30

보안기업 쿤텍이 AI 모델 탈취와 에이전트 오작동에 대응하는 모델 하드닝, 공급망 보안, 데이터 보호 기술을 고도화하고 있다고 밝혔다. 방혁준 대표는 AI의 판단과 실행 과정까지 보호하는 산업 융합보안 시장을 선도하겠다는 목표를 제시했다. 회사는 스마트선박 사이버보안과 OT(운영기술) …