- 금감원·금보원, 2025·2026년 각각 금융회사 20곳 블라인드 모의해킹
- 두 해 모두 사고 서비스 포함 여부는 ‘없음’
- 김형연 의원, “사고 뒤따라가는 훈련 넘어, 해커보다 먼저 취약한 곳 찾아야”

최근 은행 등 금융회사가 잇따라 해킹당한 가운데, 금융감독원이 2년간 실시한 블라인드 모의해킹 훈련 대상에 실제 사고가 난 시스템은 포함되지 않은 것으로 확인됐다.

국회 정무위원회 김형연 의원(조국혁신당)이 금융감독원으로부터 제출받은 ‘2025년, 2026년 블라인드 모의해킹 훈련 운영 현황’ 자료에 따르면, 두 해 모두 ‘사고 서비스 포함 여부’가 ‘없음’으로 기재되어 있다.

블라인드 모의해킹은 공격 일시와 대상을 금융회사에 미리 알리지 않고 화이트해커가 실제처럼 공격해, 해킹을 탐지·차단하고 비상 대응하는 능력을 점검하는 훈련이다. 금감원과 금융보안원이 함께 주관하며, 2025년과 2026년 각각 은행 4곳을 포함한 금융회사 20곳이 대상이었다.

김형연 의원실이 제출받은 자료에 따르면 두 해의 훈련 대상 시스템은 디도스(DDoS) 대응 시스템, 대표 홈페이지 웹서버 일부, VPN·MDM 등이었다. 2026년에는 AI 서비스 일부가 더해졌다. 금감원은 대상 시스템 선정기준에 따라 “최근 침해사고 발생 여부 및 주요 훈련 유형을 고려” 하였다고 밝혔다.
반면 올해 9월 이후 실제로 뚫린 곳은 신한은행 대출모집인용 조회 서비스, KB국민은행 직원용 모바일 업무지원 시스템, 하나은행 임직원용 영업지원 시스템, 부산은행의 외주관리 시스템 등이다. 고객이 쓰는 대표 홈페이지가 아니라, 대출모집인·직원·외주업체가 외부에서 접속하는 업무용 시스템이다.

금감원도 같은 취지로 답했다. 의원실에 제출한 답변에서 “이번 해킹사고는 취약점 분석·평가 여부가 모호한 업무지원 시스템 등에서 발생했거나, 취약점 분석·평가 대상이었음에도 취약점을 발견·보완하지 못하여 발생한 측면이 있다”고 밝혔다.

김형연 의원은 “금융당국이 2년 동안 모의해킹을 했지만, 정작 사고가 난 시스템은 대상에서 빠져 있었다”며 “실제 해커와 화이트해커가 서로 다른 곳을 보게 하여, 화이트해커의 역량을 제대로 살리지 못한 셈”이라고 지적했다.

이어 김 의원은 “최근 사고를 기준으로 대상을 고르면 점검은 늘 해커보다 한발 늦을 수밖에 없다”며 “금융위원회는 외부와 연결된 업무 시스템 등 이번 사고 대상이 법정 취약점 점검에서 빠지지 않도록 선정 기준을 정비해야 한다”고 강조했다.  끝.