[목멱칼럼]고객에게는 철문, 해커에게는 뒷문

[서지용 상명대 경영학부 교수] 금융거래를 하려는 고객에게는 인증과 보안프로그램 설치를 거듭 요구하면서 정작 고객정보를 보관한 금융회사의 시스템은 매번 뚫린다. 최근 금융권의 연쇄 정보 유출 사고가 드러낸 역설이다. 소비자는 보안을 이유로 각종 불편을 감수하지만 사고가 터지면 비밀번호 변경과 추가 인증을 다시 요구받는다.

이번 사고를 ‘인공지능(AI)이 너무 강력해졌다’는 이야기로만 설명해서는 안 된다. AI는 취약점을 찾거나 반복 공격을 수행하는 속도를 높일 수 있다. 하지만 허용되지 않은 사람이 고객정보를 조회하지 못하도록 막는 책임은 금융회사에 있다. 로그인 여부만 확인해서도 부족하다. 요청이 들어올 때마다 해당 사용자가 해당 고객정보를 볼 권한이 있는지 서버에서 검증해야 한다. 고객에게 복잡한 인증을 요구하면서 회사의 조회 서비스에서 권한 검증을 놓쳤다면 보안의 무게중심이 잘못 놓인 것이다.

반면 소비자가 체감하는 금융 보안은 주로 자신의 기기에 설치하는 프로그램과 반복 인증이다. 이들 수단이 모두 불필요하다는 뜻은 아니다. 악성코드나 계정 탈취 등 특정 위험을 줄이는 기능은 필요하다. 문제는 고객 단말기 보호와 금융회사 서버 보호를 혼동하는 데 있다. 고객 PC에 프로그램을 여러 개 설치해도 은행 서버의 인증 우회, 접근권한 오류, 과도한 개인정보 조회를 대신 해결할 수는 없다.

사고가 발생했다고 소비자 인증을 더욱 복잡하게 만드는 대응부터 꺼내서는 안 된다. 먼저 어디가 뚫렸는지 확인하고 해당 경로를 막아야 한다. 금융회사의 설계 결함을 고객의 추가 인증으로 보완하려 하면 불편만 커질 수 있다. 보안은 소비자에게 책임을 이전하는 명분이 아니라 금융회사가 신뢰를 제공하기 위한 기능이어야 한다.

소비자 불편도 경제적 비용이다. 설치와 업데이트에 걸린 시간, 프로그램 충돌로 거래를 다시 시도하는 부담, 인증에 막혀 창구를 방문하는 비용은 금리나 수수료에 드러나지 않는다. 디지털 이용에 어려움을 겪는 고객에게 반복 인증은 거래 포기로 이어질 수도 있다. 금융 보안의 효과를 평가할 때는 침해 차단뿐 아니라 정상 고객의 이용 실패와 추가 부담도 함께 살펴야 한다. 한국의 금융 접근성이 세계 최하위라는 단정 없이도 이러한 비용을 줄여야 할 이유는 충분하다.

미국 연방 금융기관 검사 협의회(FFIEC)의 인증 지침은 위험평가와 다층적 보안을 강조한다. 단일 인증이 충분하지 않은 경우 다중 인증이나 동등한 강도의 통제를 적용하고 시스템 강화와 모니터링, 거래 한도 조정 등의 조치를 취한다. 고객뿐 아니라 직원과 제3자의 접근도 관리 대상이다. 보안을 특정 프로그램 하나에 맡기는 대신 여러 통제가 서로 보완하도록 설계하는 접근이다. 사후 대응에서도 시간과 책임을 명확히 한다. 미국의 관련 규정은 은행이 보고 대상에 해당하는 중대한 컴퓨터 보안 사고가 발생했다고 판단하면 가능한 한 빨리, 늦어도 36시간 이내에 감독기관에 통보하도록 한다.

우리 금융권의 개선 방향도 분명하다. 첫째, 외부에 노출된 홈페이지와 응용 프로그램 인터페이스(API), 모집인의 목록부터 정확히 파악해야 한다. 핵심 거래망 중심의 점검을 넘어 고객정보가 드나드는 모든 경로에서 인증 우회와 권한 검증 누락을 확인해야 한다. 조회 기능도 단순한 부가 기능이 아니라 개인정보를 반출할 수 있는 통로로 관리해야 한다. 둘째, 개인정보는 적게 보관하고 적게 보여줘야 한다. 업무에 필요하지 않은 민감정보는 조회 결과에서 제외하거나 가리고 사용자별 조회 범위를 제한해야 한다. 짧은 시간에 여러 고객정보를 반복 요청하거나 대량으로 추출하는 행동은 감지하고 제한해야 한다.

셋째, 소비자 인증은 위험 기반으로 재설계해야 한다. 일상적인 잔액 확인과 고액 이체, 새로운 기기 등록, 개인정보 변경을 같은 강도로 처리할 필요는 없다. 평소 거래는 간편하게 제공하되 위험도가 높아질 때 추가 인증을 요구하는 방식이 적절하다. 넷째, 사후 대응 역시 소비자 관점으로 바뀌어야 한다. 유출 정보의 종류와 영향, 고객이 해야 할 행동, 회사가 제공할 지원을 구분해 설명해야 한다. 조사 중인 사실은 불확실성을 밝히되 책임 있는 안내를 늦춰서는 안 된다. 감독 당국은 사고의 탐지와 차단, 보고와 고객 통지까지의 시간을 살펴 대응의 적정성을 평가해야 한다. 조사와 제재만으로는 이미 노출된 고객의 불안을 해소하기 어렵다.

결론적으로 편리한 금융과 안전한 금융은 반대말이 아니다. 불필요한 절차를 줄이고 금융회사 내부 통제를 강화하면 두가지 목표를 함께 추구할 수 있다. ‘고객에게 무엇을 더 설치하게 할 것인가’가 아니라 ‘회사는 무엇을 놓쳤고 감독은 개선을 어떻게 확인했는가’여야 한다. 소비자 앞의 철문을 높이면서 해커에게 열린 뒷문을 방치하는 보안은 이제 끝내야 한다.