금융보안 솔루션으로 살아남기

보안시스템 사용, 본인확인 절차가 필요

개정법 악용하면 금융사고 더 발생할 수 있다

올 초부터 새롭게 적용되고 있는 전자금융거래법의 핵심은 ‘이용자 보호범위 확대’에 있다. 개정 전에는 금융권 책임이 거래지시에서 거래완료 사이에 발생했다면, 이제는 거래계약시부터 거래완료 사이 전체를 금융기관이 책임을 져야 한다.

다시 말하면, 공인인증서와 OTP 등 접근매체 발급시점부터 거래계약 체결, 거래지시, 전송과정, 메인시스템, PC 영역까지 모든 과정에서 발생하는 금융사고에 대해 금융기관이 책임을 져야 하는 ‘무과실책임주의’라고 할 수 있다. 단 이용자의 고의나 중과실에 의한 사고라는 것을 입증하면 책임을 면할 수도 있다.

따라서 금융기관의 리스크 관리비용도 개정 전보다 월등히 증가하고 있다. 개정 전에는 금융기관 소유 시스템만 신경을 쓰면 됐지만, 이제는 금융기관 소유 시스템뿐만 아니라 사용자 PC, 사용자 소지 접근매체(공인인증서, 보안카드, OTP 등)와 로그기록(거래로그, 사용자 PC정보로그, 전자서명 로그 등)까지도 보안대책을 강구해야할 판이다. 이용자 입장에서는 제대로 돼 가고 있는 상황이지만 금융기관 입장에서는 죽을 맛이다.

잉카인터넷 장화철 상무는 “현재의 일방향 거래 시스템으로는 보안성에 한계가 있다”고 지적하고 “비밀번호 입력이나 공인인증서 사용, 보안카드 사용, OTP 번호 입력 등이 과연 본인이 직접 한 것인지 확인할 길이 없다. 개정법을 악용해 누군가에게 대여해주고 돈을 인출하게 한 후, 은행에다가 누군가 돈을 빼갔다고 우기면서 돈을 내놓으라고 하면 은행은 속수무책이다”고 경고했다.

◇현행 금융보안 솔루션의 한계와 과제

PC 영역에 보안시스템은 키보드 보안, 개인방화벽, 백신 서비스 등이 있다. 이들 솔루션들은 전통적인 PC 해킹에 의존한 공격엔 효과적이지만, 복합적인 최신 해킹에는 그다지 실효성이 없다고 전문가들은 말하고 있다.

네트워크 영역에서 보안시스템을 들자면, PKI 암호화 통신이 있다. 이 또한 프록시 기술을 이용한 Main in the middle 공격에 취약하다는 지적이 나오고 있다.

공인인증서는 인증서 저장위치가 노출되는 경우와 백도어, 트로이안에 의해 이용자 PC가 해킹을 당할 경우 유출 가능성이 있어 완전한 보안이 이루어질 수 없다.

보안카드는 피싱에 노출될 경우 제 기능을 발휘하기 힘들다고 한다. 또, SMS 방식도 사후 통보라는 한계가 있으며, SMS 수신부인을 막기 힘들고 데이터 조작도 가능한 것으로 알려져 있다. OTP도 피싱 등 사회공학적 공격방법에는 취약하다는 전문가들 의견이 있다.

이러한 문제들을 풀기 위해 보안업계는 연구를 거듭하고 있고, 이 문제들을 명확하게 풀 수 있는 업체들이 향후 금융권 영업에 상당한 영향력을 행사할 수 있을 것이라고 한다. 또한, 올해 보안시장에서 살아남기 위해서는 '금융보안'을 잡아야 한다는 견해가 힘을 얻고 있다.

[길민권 기자(reporter21@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)