[뉴스토마토 신수정 기자] 금융권에서 해킹과 정보유출 사고가 잇따르는 가운데 금융결제원이 예금토큰 결제 인프라 확대를 앞두고 개인정보 보호와 보안 취약점 점검에 나섰습니다. 한국은행의 디지털화폐 실증사업인 '프로젝트 한강' 2단계에서 이용자와 사용처를 늘리고 송금 등 기능을 추가하는 만큼, 결제 시스템과 외부 연계 구간의 보안성을 사전에 확인하려는 취지로 보입니다.
27일 금융권에 따르면 금융결제원은 지난 9월30일 '예금 토큰 결제 중계시스템 개인정보 컨설팅 및 보안취약점 점검 용역'을 발주했습니다. 사업 예산은 9300만원으로, 계약일부터 오는 12월18일까지 진행됩니다. 담당 부서는 금융결제원 금융플랫폼단이며, 입찰 업무는 IT기획부가 맡았습니다.
이번 용역은 금융결제원이 '2026년 블록체인·AI 데이터 혁신선도 프로젝트' 최종 사업자로 선정되면서 추진됐습니다. 한국은행의 프로젝트 한강 시스템과 연계해 예금토큰과 바우처 결제 정보를 실시간으로 중계하는 인프라를 구축하는 사업입니다.
금융결제원은 제안요청서에서 한국인터넷진흥원(KISA)의 보안성 확보 요청에 따라 외부 전문업체를 통해 개인정보 컨설팅과 앱·웹 보안 취약점 점검을 추진한다고 밝혔습니다. KISA 관계자는 "시스템 구축 사업에서는 보안 관련 점검을 필수적으로 수행하도록 요구하고 있고, 이번 용역도 사업 추진 과정에서 이뤄지는 통상적인 절차"라며 이번 요청이 최근 금융권 해킹 사고에 따른 별도 조치는 아니라고 설명했습니다.
다만 금융권 일각에선 최근 금융권 전반에서 발생된 보안 사고로 금융결제 인프라의 보안 취약점을 선제적으로 확인하려는 의도도 있을 것이란 관측이 더해집니다. 지난달 말부터 최근까지 미래에셋생명을 포함해 금융사 17곳에서 해킹 또는 정보유출 사고가 발생한 것으로 파악됐습니다. 신한·KB국민·하나·BNK부산은행과 예가람·웰컴·OK·DB저축은행, 현대·산은캐피탈, 새마을금고중앙회 등이 포함됐습니다. 핀테크·가상자산 업계에서도 피에프씨테크놀로지스(PFCT), 모우다, 브라이트픽스, 고팍스 운영사 스트리미, 프라뱅 등이 관련 사고를 겪었습니다.
프로젝트 한강을 둘러싸고도 개인정보 보호 우려가 제기된 바 있습니다. 지난해 1단계 실거래 실험 당시부터 개인정보 유출 가능성이 거론됐고, 올해 국정감사에서도 거래정보 관리와 접근 범위가 쟁점이 됐습니다. 신현송 한국은행 총재는 개인 거래정보는 각 은행이 관리하고 한은은 은행 간 자금 정산을 담당한다며 개인정보 침해 우려가 없다고 설명했습니다.
이번 용역은 개인정보 컨설팅과 앱·웹 보안 취약점 진단으로 나뉩니다. 공무원 업무추진비 앱과 예금토큰 결제 중계시스템, 부가가치통신망(VAN) 공동망을 대상으로 개인정보 수집·이용·제공·파기 절차와 개인정보보호법·신용정보법상 보호조치의 적정성을 점검합니다. 개인정보 암호화와 파기, 개인정보 처리방침, 이용약관, 동의서 등도 검토합니다.
앱·웹 보안 점검 대상은 한강시스템 연계 게이트웨이와 응용프로그램 인터페이스(API), 업무추진비 앱입니다. 주요정보통신기반시설 취약점 평가 기준과 국제 웹 보안 기준인 OWASP 톱10, 국가정보원 8대 취약점 기준 등을 활용해 모의 침투 테스트를 진행합니다. 취약점 위험도를 평가하고 소스코드 개선 가이드를 제공한 뒤 재점검을 통해 보완 여부도 확인할 계획입니다.
프로젝트 한강 2단계는 예금토큰 활용 범위를 넓히는 방향으로 추진되고 있습니다. 한국은행은 지난 3월부터 2단계를 진행하고 있으며, 금융위원회가 지난 7월 경남은행과 iM뱅크를 신규 사업자로 지정하면서 참여 은행은 9곳으로 늘었습니다. 개인 간 송금과 생체인증, 예금토큰 자동 입출금 전환 기능이 추가됐고 국고금 집행사업으로도 활용 범위가 확대됐습니다.
지난해 4~6월 진행된 1단계 실거래 파일럿에는 전자지갑 기준 약 8만1000명이 참여해 11만4880건의 거래가 이뤄졌습니다. 2단계에서는 일반 국민 대상 실거래를 연내 시작하는 방안을 준비하고 있으며, 전기차 충전시설 보조금 시범사업도 추진 대상에 포함됐습니다.
금융권 관계자는 "예금토큰 활용 범위가 넓어질수록 결제 시스템과 연계 구간의 보안 중요성도 커질 수밖에 없다”며 “취약점 점검에 그치지 않고 확인된 문제를 실제 서비스에 반영해 개선하는 것이 중요하다"고 말했습니다.
금융결제원 사옥 간판(왼쪽)과 2023년 11월 진행된 중앙은행 디지털화폐(CBDC) 활용성 테스트 활용사례 및 세부 계획에 대한 기자설명회 현장. (사진=금융결제원, 뉴시스, ChatGPT 합성)
신수정 기자 newcrystal@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김의중 금융부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지