How to stop repeated financial data breaches (KOR)

Wang Hyo-keun

The author is a research professor at Seoul Media Institute of Technology and CEO of Stealth Solution.

Financial authorities recently announced that 16 financial institutions, including banks, savings banks and finance companies, suffered cyberattacks between late September and early October, compromising approximately 100,000 records. Reports suggest that AI agents were involved in some of the attacks. Although investigators must establish the exact circumstances of the incidents, the loss of information that people expected would remain protected is undeniable.

When breaches occur, the focus is often on the number of exposed records. But numbers alone cannot measure the damage. The question should be what attackers learned and what they can do with that knowledge.

Information stolen from one commercial bank included not only names and telephone numbers but also annual incomes and borrowing limits. Someone who knows my name poses a different threat from someone who knows my earnings and borrowing capacity. Even without causing immediate financial losses, criminals have acquired information that they can exploit for deception and coercion.

Unlike physical property, data remains with its owner when copied. But attackers gain knowledge previously unavailable to them while victims lose control over their private information. Changing passwords cannot delete exposed identities or income details. If inadequate authentication exposes sensitive health records of essential national personnel or information about critical infrastructure, the consequences extend beyond privacy. Breaches threatening public safety or essential national functions become national security concerns.

Designs and manufacturing records, accumulated over decades, contain successes and costly lessons. Competitors who obtain them can bypass years of experimentation. Hacking therefore steals not merely data but time and future opportunities. Information security is an economic imperative.

The next question is how to defend that information. This breach exposed authentication weaknesses at external access points, including inquiry systems used by loan brokers. Those who neglected basic safeguards must be held accountable. But fixing elementary weaknesses is insufficient. Attackers need only discover one vulnerable entrance, but defenders must protect every entrance. AI can accelerate that search, widening the imbalance between offense and defense.

Regulation alone cannot explain these failures, but it should not also restrict defensive options. The Financial Services Commission eased network separation rules to permit external AI services for security purposes. But its second testing program, announced in September, planned to select no more than 15 companies from 75 eligible applicants. The selection schedule was subsequently delayed because of the breach response. Offensive capabilities evolve, but defensive innovation remains entangled in regulatory approvals.

Regulations can establish obligations and accountability but cannot eliminate this imbalance. Attackers follow no approved technology list. Every delay imposed on defenders becomes an opportunity for attackers.

As a result, oversight should shift from approving individual technologies toward verifying whether institutions can prevent attacks, withstand disruptions and recover afterward. The U.S. National Institute of Standards and Technology’s cybersecurity framework specifies desired security outcomes without mandating particular products or technologies. Authorities should outline clear standards while letting institutions choose their own methods. Restrictions should require government justification.

Freedom of choice entails responsibility for protection. Companies cannot evade accountability by citing authentication procedures, outsourcing arrangements or regulatory compliance. They must contain breaches, restore essential operations and protect victims. Government agencies should likewise face scrutiny over whether regulations delayed effective responses. The public should not bear the consequences simply because institutions claim that they did their best.

Data must also remain protected during use. Technologies enabling computation on encrypted information or collaborative analysis without revealing underlying records can reduce exposure. Financial institutions could jointly detect fraud without disclosing customer information, and hospitals could conduct research without compromising patient confidentiality. Such capabilities could create new industries.

This incident must not end with apologies and compliance checklists. Attackers do not wait for permission, and defenders should not have to either. Institutions need freedom to select effective defenses, accompanied by rigorous accountability for results.

Ultimately, cybersecurity policy must recognize that protecting information is not a technical exercise but a responsibility shared by companies, regulators and society as a whole.

Information security is national security, economic security and the foundation of our future. What we protect is not simply data but people’s lives, the accumulated achievements of Korea and future generations’ opportunities.

금융정보 해킹에 판판이 당하지 않으려면

왕효근 서울미디어대학원 연구교수·스텔스솔루션 대표

금융당국은 은행·저축은행·캐피탈 등 16개 금융회사에서 지난 9월 말부터 10월 초까지 침해사고가 확인됐고, 유출 규모가 약 10만건이라고 최근 발표했다. 일부 공격에는 인공지능(AI) 에이전트가 쓰인 정황도 보도됐다. 공격의 실체는 더 밝혀내야 하지만, 국민이 보호받아야 할 정보를 잃었다는 사실은 이미 엄연한 현실이다.

사고가 나면 유출 규모부터 묻지만, 숫자만으론 피해를 설명할 수 없다. 공격자가 무엇을 알게 됐고, 그것으로 무엇을 할 수 있는가를 물어야 한다. 한 시중은행에서 유출된 정보에는 이름과 전화번호뿐 아니라 연 소득과 대출산출 한도도 포함됐다. 내 이름만 아는 사람과 내가 얼마를 벌고 얼마까지 대출받을 수 있는지 아는 사람의 접근은 다르다. 돈이 당장 빠져나가지 않았어도 나를 속이고 압박할 재료가 넘어간 것이다.

정보는 복사돼도 원본이 남는다. 그러나 공격자는 몰랐던 것을 알게 됐고, 나는 비밀을 통제할 힘을 잃었다. 비밀번호를 바꿔도 한번 드러난 신원정보와 소득을 없던 일로 만들 수는 없다. 허술한 인증 너머에 국가 핵심 인력의 건강 기록이나 국가기간시설 정보가 놓여 있다면 어떻겠는가. 민간 서버에 있어도 그 침해가 국민의 안전과 국가 기능을 위협한다면 안보의 문제다.

수십 년간 쌓은 설계도와 공정자료에는 성공과 실패, 피해야 할 조건까지 담겨 있다. 이를 활용한 경쟁자는 우리가 값비싸게 겪은 시행착오를 건너뛸 수 있다. 해킹으로 잃는 것은 자료를 쌓아 온 시간과 앞으로의 기회다. 정보보안이 경제라는 뜻이다.

그렇다면 문제는 지키는 방식이다. 이번에는 대출모집인용 조회 화면 같은 외부 접점의 인증 허점이 드러났다. 기본을 지키지 못한 책임은 분명히 물어야 한다. 그러나 기본을 바로잡는 데서 멈춰서는 안 된다. 공격자는 허술한 한 곳을 고르지만, 방어자는 모든 문을 지켜야 한다. AI는 그 한 곳을 찾는 속도를 높일 수 있다. 공격과 방어의 비대칭이다.

이번 허점을 규제 탓으로만 돌릴 수는 없다. 그렇다고 다음 공격에 대비할 방어의 선택까지 좁혀서는 안 된다. 금융위원회는 보안 목적의 외부 AI 활용을 위해 망 분리 규제를 완화했지만, 9월 발표한 2차 시험은 신청 자격을 갖춘 75개사 중 15개사 이내를 선정하는 구조였고, 선정 일정마저 사고 수습으로 미뤄졌다. 창은 스스로 진화하는데 방패는 아직 규제 목록을 넘기고 있다.

규제는 보호의 의무와 책임을 정할 수 있어도 이 비대칭 자체를 해소하지는 못한다. 공격자는 허용 목록을 따르지 않는다. 방어자가 새 수단을 쓸 때마다 당국의 허가를 기다린다면 그 기다림은 고스란히 공격자의 시간이 된다.

따라서 감독은 무엇을 쓸지 일일이 허락하는 데서 실제로 막고 버티고 회복하는 능력을 검증하는 쪽으로 바뀌어야 한다. 미국 국립표준기술연구소(NIST)의 사이버보안 프레임워크도 달성할 보안 결과를 제시할 뿐 특정 기술이나 제품을 요구하지 않는다. 기준은 분명히 세우되 방법은 현장이 고르게 하고, 제한이 필요하면 국가가 입증해야 한다.

선택의 자유에는 보호의 책임이 따른다. 기업은 인증과 외주, 규정 준수를 이유로 그 책임을 끝낼 수 없다. 뚫린 뒤에도 확산을 막고 핵심 기능을 회복하며 피해자를 보호해야 한다. 국가 역시 규제가 대응을 늦추지 않았는지 검증받아야 한다. “최선을 다했다”는 말 뒤에 남은 피해를 국민에게 넘겨서는 안 된다.

문 너머의 데이터도 지켜야 한다. 데이터를 암호화한 채 계산하거나 원자료를 공개하지 않고 함께 분석하는 기술은 활용 과정의 정보 노출을 줄일 수 있다. 금융회사가 고객정보를 드러내지 않고 사기를 함께 탐지하고, 병원이 환자의 비밀을 지키며 연구할 수 있다면 새 산업이 열린다.

이번 사고를 사과문과 점검표로 끝내서는 안 된다. 공격은 허가를 기다리지 않는다. 방어가 허가를 기다리느라 늦어져서는 안 된다. 막는 쪽에 선택의 자유를 보장하고, 그 결과에 엄중히 책임을 물을 때다. 정보보안이 국가안보다. 정보보안이 경제다. 정보보안이 국가의 미래다. 우리가 지키는 것은 국민의 삶과 대한민국이 쌓아온 시간이며, 다음 세대가 그 위에서 만들어갈 미래다.