2026.10.22 목요일
검색
'보안패치' 검색결과
기간검색
-
~
검색영역
검색어
-
AI가 드러낸 PHP 치명적 보안결함…전 세계 웹사이트 비상 [경제일보] 웹사이트를 구동하는 프로그래밍 언어 PHP에서 로그인 없이 서버에 악성 코드를 실행할 수 있는 취약점이 공개돼 각국 기관과 기업이 긴급 대응에 나섰다. AI를 활용한 보안 연구진이 오래된 결함의 실제 공격 가능성을 입증하면서 파장이 커졌다. 네덜란드에서는 일부 정부 웹사이트가 예방 차원에서 운영을 중단했고, 국내에서도 보안 업데이트 권고가 나왔다. PHP 개발진은 지난 21일(현지시간) 핵심 엔진에서 발견된 취약점 두 건을 수정한 보안 업데이트를 배포했다. 'PHP2Shell'로 불리는 이번 취약점의 식별번호는 CVE-2026·109618과 CVE-2026·109619다. 공통취약점평가시스템(CVSS) 4.0 기준 위험도는 각각 10점 만점에 9.2점이다. 두 취약점 모두 인증 없이 원격 코드 실행이 가능하며, 공격에 성공하면 민감한 정보가 노출되거나 서버가 장악될 수 있다. 문제는 PHP가 웹 요청을 처리하는 과정에서 메모리 부족이나 치명적 오류를 만났을 때 발생한다. 첫 번째 취약점은 메모리 부족 상황에서 불완전하게 초기화된 내부 데이터가 정상 데이터처럼 처리되는 결함이다. 다른 취약점은 치명적 오류 이후 이미 해제된 메모리를 다시 참조하는 문제다. 이런 결함을 악용하면 서버 내부 정보를 빼내거나 공격자가 보낸 코드를 실행할 수 있다. PHP 개발진은 웹 요청을 처리하는 PHP 설치 환경 전반을 점검 대상으로 제시했다. 특히 아파치 웹서버에 PHP를 결합한 'mod_php' 환경에서는 기본 설정에서도 애플리케이션 코드가 실행되기 전에 공격이 가능한 사례가 확인됐다. 널리 쓰이는 PHP-FPM에서도 애플리케이션 처리 경로를 통한 원격 코드 실행이 입증됐다. 특정 플러그인이나 개별 웹사이트의 개발 실수에 국한된 문제가 아니라는 점이 파급력을 키웠다. 보안업체 위즈는 워드프레스·드루팔·줌라 등 PHP 기반 플랫폼에서 인증 없는 원격 코드 실행을 재현했다고 밝혔다. 취약점의 영향 범위는 PHP 5.4 이상 버전까지 거슬러 올라간다. 오래된 소프트웨어에 남아 있던 결함이 실제 공격 가능한 형태로 확인된 것이다. PHP는 웹 전반에 널리 쓰인다. 웹 기술 분석업체 W3Techs의 지난 21일 기준 통계에 따르면 PHP는 서버 측 프로그래밍 언어를 식별할 수 있는 웹사이트의 69.3%에 사용된다. PHP 기반 콘텐츠관리시스템인 워드프레스는 전체 웹사이트의 39.6%를 차지한다. 실제 공격 노출 여부는 설치 버전과 서버 구성, 보안 업데이트 적용 상태에 따라 달라진다. 이번 발견에는 보안업체 캘리프와 오픈AI, 위즈 등이 참여했다. 오픈AI에 따르면 캘리프는 GPT-5.6 솔을 활용해 치명적 결함을 발견했고, 위즈도 독립적으로 두 취약점을 찾아 신고했다. 위즈는 제미나이 4 아르곤과 GPT-5.6 솔 등을 연구에 활용했다고 설명했다. AI는 결함을 찾는 데 그치지 않고 복잡한 공격 경로를 분석하고 실제 공격이 가능한지 검증하는 작업도 도왔다. 위즈는 서로 다른 PHP 버전과 설정, 메모리 구조에 맞춰 공격 코드를 조정하고 시험하는 과정에서 AI가 분석과 수정에 필요한 시간을 줄였다고 밝혔다. 취약점 발견과 방어에 쓰이는 AI가 공격 기술의 개발과 확산에도 활용될 수 있다는 의미다. 오래된 결함이 뒤늦게 드러난 배경에는 보안 유지·관리의 한계도 있었다. PHP 재단은 2024년 외부 보안감사 후속 조치 과정에서 메모리 부족과 관련한 결함의 단서를 찾았지만, 당시에는 구체적인 공격 경로가 확인되지 않았다고 설명했다. 수정 방안마다 기존 소프트웨어와의 호환성 문제가 있었고, 핵심 개발인력 부족까지 겹치면서 대응이 여러 차례 지연됐다. 재단은 의사결정 방식과 자원 부족에서 비롯된 '구조적 실패'라고 평가했다. 실제 공격을 겨냥한 움직임도 관측됐다. 클라우드플레어는 취약점 관련 정보가 공식 공개 전에 유출됐으며, 자사 고객을 겨냥한 공격 트래픽과 방어를 우회하려는 변형 시도를 확인했다고 밝혔다. 웹방화벽을 통한 완화 조치를 제공하면서도 근본적인 해결을 위해 PHP 보안 업데이트를 적용해야 한다고 강조했다. 네덜란드 정부는 디지털 신원인증 서비스 디지디(DigiD)와 정부 포털 등 일부 웹사이트를 예방적으로 중단했다. 유럽연합 사이버보안 대응팀(CERT-EU) 등도 인터넷에 노출된 시스템을 우선 업데이트하고, 즉시 조치하기 어렵다면 외부 접속을 차단하는 방안을 검토하도록 권고했다. 국내에서도 한국인터넷진흥원(KISA)이 지난 21일 보안 업데이트를 권고했다. 수정 버전은 PHP 8.2.35·8.3.36·8.4.27·8.5.12다. 정규 보안 지원이 종료된 PHP 8.1 이하 사용자는 지원 버전으로 이전하거나 배포판·장기지원 업체가 제공하는 수정 패키지를 확인해야 한다. 워드프레스 공식 운영진도 이번 문제는 워드프레스 자체가 아닌 PHP 런타임의 취약점이라 별도의 워드프레스 업데이트는 예정돼 있지 않다고 밝혔다. 호스팅 서비스를 이용하는 사업자는 업체의 PHP 업데이트 여부를 확인해야 한다. 웹사이트나 플러그인을 최신 상태로 유지하더라도 기반 PHP가 수정되지 않으면 취약점은 남는다.2026-10-22 08:23:32
-
5대 은행장 '해킹 국감'…보안 구멍·피해보상 직접 답한다 [경제일보] 금융권 연쇄 해킹 사태의 책임을 묻기 위해 5대 은행장이 19일 국정감사 증인석에 선다. 고객정보 유출 경위와 보안 투자, 사고 이후 피해 구제가 핵심 쟁점이다. 금융당국 점검에서 보안패치와 인증체계의 허점이 드러난 만큼, 경영진이 위험을 보고받고 실제 개선으로 연결했는지도 검증 대상에 올랐다. 18일 국회와 금융권에 따르면 이환주 KB국민·정상혁 신한·이호성 하나·정진완 우리·강태영 NH농협은행장이 국회 정무위원회의 금융감독원 국감에 일반 증인으로 출석한다. 5대 은행장이 함께 증인으로 채택된 것은 횡령과 내부통제가 쟁점이었던 2022년 이후 4년 만이다. 이번 사태는 고객이 이용하는 인터넷·모바일뱅킹뿐 아니라 외부에서 접속하는 업무지원 시스템까지 보안 관리가 필요한 이유를 드러냈다. 신한은행의 대출모집인용 조회 서비스, 국민은행의 직원용 모바일 업무지원 시스템, 하나은행의 영업지원시스템에서 정보 유출이 발생했다. 우리·농협은행은 공격 시도를 차단했으며, 두 은행의 정보 유출은 확인되지 않은 것으로 전해졌다. 금융위는 지난 14일 신한은행 사고 전후로 침해사고가 확인된 금융사가 16곳, 유출 정보가 약 10만건이라고 밝혔다. 이는 은행·저축은행·가상자산사업자 등을 합친 수치다. 사고 간 연관성과 동일 공격자 여부, AI 활용 가능성은 정밀 조사 중이다. 전 금융권 555개사의 체크리스트 점검에서는 130개사가 미흡사항을 보고했다. 최신 보안패치 미적용, 기술지원이 끝난 시스템의 관리 부실, 24시간 관제 미구축, 외부 접점의 인증·접근권한 관리 누락 등이 확인됐다. AI 공격 대응과 함께 기존 보안조치의 이행 여부를 따져야 하는 배경이다. 신진창 금융위 사무처장은 14일 회의에서 “금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분”이라고 지적했다. 보안 예산도 편성과 집행을 나눠 볼 대목이다. 이양수 국민의힘 의원이 금감원에서 받은 자료에 따르면 5대 은행과 인터넷은행 3곳의 지난해 정보보호 예산은 3978억원, 집행액은 2744억원이었다. 집행률은 69.0%다. 국감에서는 예산 확대 계획과 함께 은행별 미집행 사유, 취약점 보고 이후의 조치 경위도 쟁점이 될 전망이다. 고객에게는 정보 유출 이후의 대응이 더 절박하다. 당국은 14일 기준 계좌 비밀번호·카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다고 밝혔다. 그러나 이름과 연락처, 소득·대출한도 등을 조합하면 은행 직원을 사칭한 맞춤형 대출 사기에 악용될 수 있다. 금융당국은 지난 6일부터 한 달간 2차 피해 특별대응기간을 운영하고 전담 상담창구와 고위험 거래 감시를 강화하도록 했다. 국민·하나은행은 정보 유출로 실제 고객 피해가 발생하면 전액 보상하겠다는 방침도 밝혔다. 보상 약속과 별개로 피해 신고 접수, 사고와의 연관성 확인, 지급까지의 절차가 국감에서 다뤄질 전망이다. 연합뉴스는 은행들이 주말에도 예상 문답과 후속 조치를 점검했다고 전했다. 한 은행 관계자는 연합뉴스에 “은행의 재발 방지 의지와 개선책을 설명하고, 잃어버린 신뢰를 다시 쌓아나가는 시작점이 되기를 기대한다”고 말했다. 5명의 행장은 모두 연말 임기가 만료된다. 이번 국감은 사고 예방과 사후 대응에 대한 경영 평가가 연말 인사와 맞물리는 자리이기도 하다. 당국은 대형 금융회사부터 취약점 점검·평가를 연 2회 이상으로 확대하고 중요 외부 접점을 필수 점검대상에 넣는 방안을 추진한다. 은행이 자체 파악한 위협정보의 공동 공유와 CEO·정보보호책임자 등의 보고체계·책임범위 정비도 추진 과제에 포함했다.2026-10-18 14:05:57
-
국민·신한·하나, 1239억 쓰고도 뚫렸다…고객정보 새나간 '업무 쪽문' [경제일보] 한 해 정보보호에 1200억원 넘게 투입한 KB국민·신한·하나은행이 업무지원 시스템을 통한 고객정보 유출을 막지 못했다. 상시 보안관제와 전문조직, 국내외 인증을 갖췄지만 고객정보를 조회하는 경로에서 허점이 드러났다. 금융당국이 인공지능(AI)을 활용한 자동화 공격 가능성을 조사하면서 외부에 노출된 업무 시스템의 관리 방식도 도마에 올랐다. 5일 금융감독원이 국민의힘 이양수 의원에게 제출한 자료에 따르면 지난해 정보보호 집행액은 하나은행 530억200만원, KB국민은행 392억9700만원, 신한은행 316억7500만원이었다. 세 은행을 합하면 1239억7400만원이다. 은행들이 공개한 보안 체계도 촘촘했다. 연합뉴스가 각 금융지주의 올해 반기보고서를 분석한 내용에 따르면 신한은행은 금융위원회 주관 ‘개인신용정보 관리 및 보호 실태 점검’에서 6년 연속 S등급인 100점을 받았다. 국내외 정보보호 인증과 내부 해킹 대응조직을 갖추고, 북대서양조약기구(NATO) 사이버방위센터 주관 훈련에도 참여했다. KB금융은 올해 1월 그룹사이버보안센터를 출범시켰다. 공격자 관점에서 취약점을 찾는 ‘레드팀’과 침입을 탐지·차단하는 ‘블루팀’을 함께 운영하는 체계다. 하나은행도 그룹 통합 보안관제센터를 연중 가동하고, 업무상 필요한 경우에만 개인정보에 접근하도록 관리한다고 설명했다. 실제 공격은 대출모집인과 직원들이 사용하는 업무지원 경로를 파고들었다. 신한은행에서는 대출모집인용 간편조회 서비스, 국민은행에서는 직원용 모바일 업무지원 시스템, 하나은행에서는 영업지원시스템이 공격 대상이 됐다. 피해 규모는 신한은행 고객 약 2만5000명, 국민은행 고객·임직원 119명, 하나은행 고객 89명이다. 고객이 직접 이용하는 금융거래 서비스 밖에서도 개인정보를 조회할 수 있는 경로가 공격 통로로 악용된 것이다. 금감원은 지난 4일 긴급 점검회의에서 본인확인 없는 정보조회, 접근통제 누락, 알려진 취약점의 미조치 등을 사고 유형별 취약점으로 제시했다. AI 에이전트를 활용한 대량 자동화 공격을 추정하고 있으며, 개별 사고의 원인과 공격수법은 조사하고 있다. 이런 위협은 사고 전에도 예고됐다. 금융위는 지난 9월 3일 AI 보안 테스트 중간점검 결과를 공개하면서, 첨단 AI가 수백만~수천만 줄의 소스코드를 수시간 내 분석하는 취약점 탐색 능력을 보였다고 밝혔다. 기존 취약점을 넓은 범위에서 일관되게 찾아내는 능력도 확인했다. 당시 금융위는 외부에 노출된 전산자산의 식별·관리, 신속한 보안패치, AI를 활용한 방어체계 구축이 필요하다고 제시했다. 공격자가 약한 지점을 찾는 시간이 줄어드는 만큼 금융회사도 점검과 보완 속도를 높여야 한다는 경고였다. 이번 사고가 드러낸 문제는 보안조직이나 장비의 유무와 함께 실제 통제가 적용되는 범위다. 직원용·모집인용이라는 시스템의 명칭과 관계없이, 외부에서 접근해 고객정보를 조회할 수 있다면 인증과 접근권한을 같은 수준으로 관리해야 한다. 금융위가 지난 2일 내린 점검 지시도 이 부분에 집중됐다. 대고객 서비스 여부와 서비스 종류를 가리지 않고 외부에서 접근할 수 있는 시스템 전체를 파악하도록 했다. 개인정보 조회 과정에서 인증이 누락되는 경로와 불필요한 정보 노출도 점검 대상에 포함했다. 이억원 금융위원장은 4일 “아무리 견고한 보안 체계를 갖추고 있더라도 관리되지 않는 하나의 빈틈이 전체 보안 체계의 취약점이 될 수 있다”며 “AI 공격은 AI로 방어하는” 체계 마련을 주문했다. 접근할 때마다 신원과 권한을 검증하는 제로트러스트 원칙에 기반한 보안체계 전환도 강조했다. 중소 금융회사의 대응 여력은 별도의 과제다. AI 도구를 도입하더라도 탐지 결과를 분석하고 취약점을 보완할 전문인력과 운영비가 필요하다. 금융위는 한 회사에서 확인된 공격수법이 다른 회사에도 활용될 수 있다고 보고 공격 IP주소와 침해시도 내역을 공유하는 공동 대응을 추진하고 있다. AI 보안 테스트 참여 기회도 확대한다. 금융위가 9월 발표한 2차 망분리 규제 긴급완화 방안은 신청 대상에 중소 금융회사와 전자금융업자를 포함해 대상 기관을 49개사에서 75개사로 늘렸다. 선정 규모는 10개사에서 최대 15개사로 확대했다. 선정된 회사는 망분리를 대신할 통제수단을 마련한 뒤 AI와 보안 서비스를 활용해 취약점을 탐지·개선하게 된다. 금융위는 이달 중 비조치의견서를 발급할 계획이며, 테스트에서 축적한 대응 요령은 참여하지 않은 금융회사에도 전파한다는 방침이다.2026-10-05 11:03:04
-
![[경제일보] 10조 실탄 든 삼성SDS, AI 넘어 로봇 공장까지 노린다](https://image.ajunews.com//content/image/2026/09/09/20260909080922600565.jpg)
10조 실탄 든 삼성SDS, AI 넘어 '로봇 공장'까지 노린다 [경제일보] 삼성SDS가 2031년까지 10조원을 투입해 인공지능 전환(AX)에서 로봇 전환(RX)과 물류까지 사업 영토를 넓힌다. 삼성 관계사의 제조 현장을 로봇 사업의 시험대로 활용하고 공공·금융에 특화한 AI 에이전트를 앞세워 외부 시장으로 확장한다는 전략이다. 이준희 삼성SDS 대표는 지난 8일 서울 코엑스에서 열린 ‘리얼 서밋 2026’ 기자간담회에서 “AX와 RX, 물류 분야에서 전략적 투자를 검토하고 있다”며 “빠른 시일 안에 결과물을 소개할 수 있을 것”이라고 밝혔다. 삼성SDS의 10조원 투자계획은 AI 인프라 5조원, AX 서비스·플랫폼 1조원, 인수합병(M&A)과 신사업 4조원으로 구성된다. 재원은 보유 현금성 자산 6조6000억원과 글로벌 사모펀드 운용사 KKR로부터 조달한 1조2200억원, 향후 영업현금흐름으로 마련한다. KKR 자금은 단순 출자가 아니라 2032년 만기, 연 2.5% 금리의 전환사채(CB)다. 주식으로 전환되면 기존 주주의 지분이 희석될 수 있는 만큼 투자 규모보다 수익성과 회수 속도가 중요하다. 삼성SDS가 M&A 대상과 투자 시점을 보수적으로 선별해야 하는 이유다. 신규 성장축은 RX다. 삼성SDS는 2027년 생산설비와 서로 다른 로봇을 통합 제어하는 ‘로봇 오케스트레이션 플랫폼’을 출시한다. 로봇 하드웨어를 직접 만드는 대신 공정 데이터와 제조실행시스템(MES), 로봇을 연결해 생산라인 전체를 운영하는 역할을 맡는다. 초기 시장은 삼성 관계사의 1000여개 생산라인이다. 수작업 비중이 높은 공정을 범용 로봇으로 전환해 성능과 경제성을 먼저 검증한다. 이후 삼성SDS가 MES와 자동화 시스템을 구축한 외부 제조 고객사 430여곳과 미국 리쇼어링 시장으로 사업을 확장할 계획이다. 레인보우로보틱스와 월든로보틱스 등 10개 기업으로 구성한 ‘팀 REX’도 가동한다. 로봇 본체와 손 역할을 하는 엔드이펙터, 시뮬레이션 기술을 묶어 제조 현장별로 최적화하겠다는 구상이다. 삼성SDS의 경쟁력은 개별 로봇보다 여러 기종을 기존 생산시스템과 안정적으로 연결하는 통합 역량에서 갈릴 전망이다. 기업용 AI 시장에서는 오는 10월 출시하는 ‘브리티웍스 코워크’를 전면에 세운다. 이용자의 메일과 일정, 문서 등 업무 맥락을 이해해 자료 조사와 문서 작성, 이메일 발송까지 수행하는 AI 에이전트다. 글로벌 범용 서비스와 정면 대결하기보다 외부 클라우드 사용이 제한되는 공공·국방·금융 폐쇄망 시장을 먼저 공략한다. 이는 삼성SDS가 가진 기업 내부 시스템 구축 경험을 AI 에이전트와 결합하는 전략이다. 모델 성능만으로는 오픈AI·마이크로소프트·구글과 차별화하기 어렵지만, 고객사의 데이터와 업무 절차를 연결하고 구축 이후 운영까지 책임지는 능력은 기존 IT서비스 사업자의 강점이다. 오픈AI와의 보안 협력도 확대한다. 삼성SDS는 국내 기업 최초로 오픈AI의 ‘데이브레이크 파트너 프로그램’ 파일럿 파트너로 참여해 취약점 탐지부터 위험도 판단, 보안패치 생성·검증까지 자동화하는 기술을 적용한다. 다만 현재는 초기 검증 단계인 만큼 실제 고객 확보와 매출 규모는 지켜봐야 한다. 이번 삼성SDS의 전략은 데이터센터와 AI 에이전트, 제조 로봇을 하나의 사업 사슬로 묶는 데 초점이 맞춰져 있다. 관건은 삼성 관계사에서 확보한 실적을 외부 고객과 해외시장으로 얼마나 빠르게 확장하느냐다. 10조원이라는 투자 규모가 성장의 보증수표는 아니다. 외부 매출과 반복 가능한 서비스 수익으로 연결될 때 AX·RX 전환의 성과가 비로소 숫자로 입증될 전망이다. [아주경제 2026년 09월 10일자 13면에 게재된 기사입니다.]2026-09-10 07:52:33
-
금융위, AI 보안 테스트 확대…망분리 완화 대상 75곳으로 [경제일보] 금융위원회가 인공지능(AI) 보안 테스트를 위한 2차 망분리 규제 긴급 완화 조치를 추진한다. 중소 금융회사와 전자금융업자까지 참여 대상을 넓혀 금융권의 AI 보안위협 대응 역량을 높인다는 취지다. 3일 금융위는 유영준 금융위 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 '프런티어 AI 상황대응반' 5차 회의를 열고 2차 망분리 규제 긴급 완화 조치 세부방안을 확정했다. 이번 방안은 금융위 적극행정위원회 심의와 민간 기술자문단 자문 등을 거쳐 마련됐다. 회의에서는 2차 망분리 규제 긴급 완화 조치 추진방안과 1차 테스트 진행상황 등을 논의했다. 2차 테스트 신청 대상은 총 75개사다. 1차 테스트 신청 대상 49개사보다 26개사 늘었다. 선정 규모도 기존 10개사에서 15개사 이내로 확대된다. 금융회사 신청 기준은 총자산 10조원 이상, 상시 종업원 수 1000명 이상에서 총자산 2조원 이상, 상시 종업원 수 300명 이상으로 완화된다. 다만 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다. 이 기준을 충족하는 금융회사는 59개사다. 전자금융업자에는 별도 기준이 적용된다. 연간 전자금융거래 금액이 2조원 이상이고 전자금융업 관련 매출액이 총 매출액의 10%를 넘어야 한다. CISO가 다른 정보기술부문 업무를 겸직하지 않아야 하는 조건도 동일하게 적용된다. 대상 전자금융업자는 16개사다. 참여를 희망하는 금융회사와 전자금융업자는 이날부터 오는 14일까지 신청할 수 있다. 금융위는 민간기술자문단 등을 통해 이달 중 신청 회사의 보안 역량과 AI 활용 능력을 평가한다. 평가 결과를 바탕으로 금융위 보고를 거쳐 다음달 중 망분리 규제에 관한 비조치의견서가 발급된다. 비조치의견서는 1년 한시로 운영된다. 선정된 회사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 서비스형 소프트웨어(SaaS) 등을 활용해 보안 취약점을 탐지·개선할 수 있다. 망분리 규제가 완화되는 만큼 데이터 유출과 외부 침해 등 보안사고 위험을 줄이기 위한 통제장치가 전제된다. 테스트 결과도 정부에 보고해야 한다. 보고 대상에는 △AI 보안 위험성의 특성 △공격용도 활용 시 예상되는 위험성 △효과적인 방어를 위한 대응요령 등이 포함된다. 정부는 제출된 정보를 AI 가이드라인 개정과 보안대책 마련에 활용한다. 앞서 진행된 1차 테스트에서는 프런티어 AI가 대규모 소스코드의 취약점 탐색에 강점을 보인 것으로 나타났다. 수백만에서 수천만 줄에 달하는 소스코드를 수시간 안에 분석하는 등 취약점 탐색 기능이 우수했다는 평가다. 특히 기존 취약점을 넓은 범위에서 일관되게 찾아내는 데 강점이 확인됐다. 이용자의 경험이나 역량에 따른 편차 없이 취약점을 빠르게 탐색하는 수단으로 활용될 가능성도 제시됐다. 다만 금융권은 침입차단·방지시스템 등 다양한 보안조치를 적용하고 있어 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않은 것으로 평가됐다. 금융위는 향후 AI를 활용한 침해위협이 본격화될 가능성에 대비해 외부 노출 전산자산 등 공격표면 관리와 신속한 보안패치, 'AI는 AI로 방어하는' 대응체계 구축이 필요하다고 봤다. 금융위는 1차 테스트가 끝나면 발견된 취약점 유형과 AI 점검 노하우, 보안 대응요령 등을 전 금융권에 공유하고 AI 가이드라인 개정도 추진할 예정이다. 유 정책관은 "AI를 활용한 침해위협이 점차 현실로 다가오는 상황에서 보다 폭넓은 금융회사·전금업자까지 AI 보안 테스트 기회를 부여하여 침해위협에 든든히 대비토록 하는 것이 중요한 시점"이라고 말했다.2026-09-03 16:16:32
-
금융사, AI 보안패치 중 경미한 장애 땐 제재 면책 [경제일보] 금융당국이 금융회사의 인공지능(AI) 보안테스트와 보안패치 과정에서 발생하는 경미한 전산장애에 대한 제재를 면책하기로 했다. 프런티어 AI 보안위협에 금융사가 적극 대응할 수 있도록 부담을 낮추고 실무 가이드라인도 마련했다. 2일 업계에 따르면 금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안테스트·보안패치 과정에서 발생하는 전산장애에 대한 면책조치를 심의·의결했다. 금융사의 AI 보안위협 대응 행동요령을 담은 프런티어 AI 보안위협 금융분야 대응요령'도 마련해 배포했다. 프런티어 AI는 현재 가장 높은 수준의 성능과 범용성을 갖춘 AI 모델을 뜻한다. 금융당국은 '미토스' 등 프런티어 AI의 보안위협에 대응하기 위해 금융권이 취약점 점검과 보안패치에 적극 나설 필요가 있다고 보고 있다. 그동안 금융업계에서는 AI를 활용한 보안점검이나 긴급 보안패치 과정에서 전산시스템 오작동이 발생할 수 있어 일정한 면책조치가 필요하다는 의견이 제기돼 왔다. 임직원이 제재 리스크를 의식하면 취약점 확인과 패치 적용이 지연될 수 있다는 이유다. 앞으로 금융사가 보안목적 AI를 활용해 취약점·포트 스캐닝, 자동화 침투 시도 등 보안테스트를 진행하거나 금융위·금감원·금융보안원 등이 전파한 보안취약점에 대해 긴급 보안패치를 실행하는 과정에서 경미한 전산장애가 발생하면 면책 대상이 된다. 다만 신속한 복구와 소비자 보호조치가 이뤄져야 한다. 면책 범위는 기관·임직원 신분제재와 과태료 등이다. 개인신용정보 유출 사고가 발생한 경우에는 이번 면책과 관계없이 신용정보법에 따른 제재가 적용된다. 경미한 전산장애 기준도 제시됐다. 고의성이 없고 금전피해가 1억원 미만이며 시스템 장애 시간이 최대 4시간 이내인 경우 등이 해당된다. 고객정보 유출은 개인신용정보를 제외하고 1만건 미만이어야 한다. 금융사는 사전 테스트와 복구 수단을 갖춰야 한다. 보안테스트나 패치 일시·대상·내용·대체 서비스 경로 등을 홈페이지나 문자메시지로 사전에 안내하고 소비자 피해가 발생하면 구제조치도 마련해야 한다. 금융당국은 면책조치와 함께 6개 분야 대응요령도 제시했다. 가이드라인에는 △경영진 책임 강화 △취약점 및 패치관리 △자산·공급망 관리 △AI 기반 방어 자동화 △금융권 공동대응과 복원력 강화 △침해확산 방지 체계 등이 담겼다. 금융당국은 가이드라인을 보안목적 AI 테스트 결과 등을 반영해 지속 업데이트할 계획이다. 금융위 관계자는 "금융사의 불안감을 낮추고 적극적인 보안강화 조치를 유도하는 데 방점을 뒀다"며 "전산자원 관리와 취약점 탐지, 보안패치 적용 등 관리강화 조치에 나서주길 기대한다"고 말했다.2026-07-02 08:54:28
많이 본 뉴스
영상
Youtube 바로가기
![[데스크 칼럼] 착공 숫자에만 매달리는 3기 신도시, 집만 짓고 길과 일자리는 언제 만들려나](https://image.ajunews.com/content/image/2026/10/21/20261021164444447635_518_323.jpg)