금융감독원이 최근 2년간 실시한 블라인드 모의해킹 훈련 대상에서 실제 해킹 사고가 발생한 시스템들이 제외된 것으로 20일 확인됐다.

금융권 블라인드 모의해킹 사각지대, 실제 해킹 시스템은 제외됐다. 김형연 의원(조국혁신당)

국회 정무위원회 소속 김형연 의원(조국혁신당)이 금융감독원으로부터 제출받은 `2025년 및 2026년 블라인드 모의해킹 훈련 운영 현황`에 따르면, 해당 기간 훈련 대상에 사고가 발생한 서비스는 단 한 곳도 포함되지 않았다.

블라인드 모의해킹은 화이트해커가 공격 대상과 시점을 알리지 않고 실제처럼 공격해 금융사의 탐지 및 대응 능력을 점검하는 훈련이다. 금감원과 금융보안원이 주관하며 매년 금융회사 20곳을 대상으로 시행된다.

이 날 공개된 자료를 보면 훈련 대상은 디도스 대응 시스템, 웹서버, VPN 등으로 한정됐다. 2026년에는 AI 서비스가 일부 포함되었으나, 실질적인 해킹 취약점과는 거리가 있었다.

실제 올해 9월 이후 해킹 피해를 입은 곳들은 신한은행 대출모집인용 조회 서비스, KB국민은행 직원용 모바일 시스템 등 외부 접속이 잦은 업무용 시스템이었다. 이는 대표 홈페이지와는 다른 영역이다.

금감원 또한 이와 관련해 `이번 해킹사고는 취약점 분석 대상이 모호한 업무지원 시스템에서 발생했거나, 점검 대상이었음에도 취약점을 보완하지 못해 발생한 측면이 있다`고 인정했다.

김형연 의원은 `금융당국이 2년 동안 모의해킹을 했지만 정작 사고가 난 시스템은 대상에서 빠져 있었다`며 `실제 해커와 화이트해커가 서로 다른 곳을 보게 해 화이트해커의 역량을 제대로 살리지 못한 셈`이라고 비판했다.

이어 김 의원은 `최근 사고를 기준으로 대상을 고르면 점검은 늘 해커보다 한 발 늦을 수밖에 없다`며 `금융위원회는 외부와 연결된 업무 시스템 등이 법정 취약점 점검에서 누락되지 않도록 선정 기준을 정비해야 한다`고 강조했다.