금융권 해킹 잇따라…美연준은 서드파티 직접 감독

ZDNet Korea·2026-10-30주요

요약

대신증권, 미래에셋생명 등 국내 금융투자·보험사에서 해킹과 개인정보 유출 사고가 잇따라 발생했다. 해커들은 본사 핵심 시스템 대신 대출모집인 조회 시스템, 외주 개발직원용 웹, 모바일 업무 포털 등 서드파티 접점을 우회 통로로 삼았다. 미국 연방준비제도는 '제3자 리스크 관리 가이드라인(SR 23-4)' 개정안을 내고, 형식적 서면 점검표 대신 클라우드·AI·핵심 외주사 등 고위험 서드파티를 실시간·지속적으로 감시하도록 했으며, 은행서비스회사법(BSCA)을 바탕으로 외주 IT·SaaS 업체에 직접 감사 권한을 행사한다. 반면 한국의 전자금융감독규정은 보안서약서 수령과 연 1회 서면 점검 등 정적 컴플라이언스에 머물러 있어, 전문가들은 제로 트러스트와 공급망 통제 체계로의 전환이 필요하다고 지적한다.

큐레이터 노트

원문에 없는 맥락입니다

미 연준 방식은 외주업체에 보안 책임을 전가하지 못하게 하고 감독기관이 직접 감사하는 구조라는 점에서, 연 1회 서면 점검에 머문 국내 체계와 대비된다.

깊이 읽기

이 기사 한 건이 아니라, 같은 사안을 다룬 이 사이트의 기록을 근거로 정리했습니다

이 일이 어디서 왔나

9월 말 신한은행 고객정보 유출에 이어 대신증권, 미래에셋생명 등에서 해킹 사고가 잇따르면서 금융위원회는 555개 금융사를 긴급 점검해 130곳에서 미흡 사항을 확인했다. 보안 업계에서는 제로 트러스트 확장 필요성이 거듭 제기돼 왔는데, 이번 기사는 그 공백이 '서드파티' 영역에 있음을 구체적으로 짚는다.

짚어야 할 점

해커들이 겨냥한 지점은 본사 핵심 시스템이 아니라 대출모집인 조회 시스템, 외주 개발직원용 웹, 모바일 업무 포털 등 주변부 접점이었다는 점이 핵심이다.
미 연준은 서면 점검표 방식을 버리고 클라우드·AI·핵심 외주사를 실시간 감시하며 법적 감사 권한까지 행사하는 반면, 한국은 보안서약서와 연 1회 서면 점검에 머물러 있어 대응 방식의 격차가 크다.
티빙 사고(개발자 접속키 탈취)나 AI 에이전트 확장 논의 등 앞선 보도들이 지적한 '제로 트러스트를 어디까지 넓혀야 하나'라는 질문이, 이번엔 공급망·외주업체 영역으로 구체화된 셈이다.

아직 확인되지 않은 것

금융위가 확인한 130곳의 미흡 사항이 실제로 대출모집인 조회 시스템이나 외주 개발 포털 같은 서드파티 접점과 관련이 있는지는 확인되지 않았다.
한국 금융당국이 미 연준의 BSCA식 직접 감사 권한이나 실시간 감시 체계를 도입할 계획이 있는지에 대한 자료는 나오지 않았다.
전자금융감독규정 개정이 실제로 추진되고 있는지, 추진된다면 시행 시점은 언제인지 확인되지 않았다.

다른 매체는 이렇게 썼다

같은 사안을 다룬 다른 곳의 보도입니다

쿤텍, AI 모델 탈취·에이전트 오작동 막는 융합보안 기술 고도화

전자신문 SW · 2026-10-30

보안기업 쿤텍이 AI 모델 탈취와 에이전트 오작동에 대응하는 모델 하드닝, 공급망 보안, 데이터 보호 기술을 고도화하고 있다고 밝혔다. 방혁준 대표는 AI의 판단과 실행 과정까지 보호하는 산업 융합보안 시장을 선도하겠다는 목표를 제시했다. 회사는 스마트선박 사이버보안과 OT(운영기술) …

AI 에이전트 시대, 제로 트러스트 보안을 확장해야

전자신문 SW · 2026-10-29

한 보안 전문가는 AI 에이전트가 기업 데이터와 인프라에 직접 연결되면서 모델의 결함이 데이터와 비즈니스 전체의 위협으로 번질 수 있다고 지적했다. 글에서는 티빙이 발표한 개인정보 유출사고 조사 결과를 사례로 들며, 공격자가 개발자 접속키를 탈취해 내부 시스템에 무단 접근한 사실을 언급…

日 대형은행, AI해킹 대응 보안인력 한국서 채용

전자신문 IT · 2026-10-29

일본의 한 대형은행이 AI발 해킹 위협에 대응하기 위해 한국에서 은행 시스템 보안패치 개발 인력을 팀 단위로 채용하고 있는 것으로 파악됐다. 사안에 정통한 관계자에 따르면 해당 은행은 중급 이상 개발자 10명 이상을 뽑는 채용 절차를 진행 중이다. 국내 금융권의 보안인프라 강화가 시급한…