AI 해킹 대응과 과징금 중심 대책, 예방 투자는 어떻게 뒷받침되나

생성형 인공지능(AI)을 활용한 공격이 금융권까지 번진 가운데, 2026년 10월 19일 보도에서 금융당국은 신한은행 침해사고 전후로 사고가 확인된 금융사가 16곳이며 현재까지 파악한 정보 유출은 약 10만 건이라고 밝혔다. 당국은 침해 여부를 추가 확인 중이어서 사고 금융사가 늘어날 수 있다고 덧붙였다.

사고 후 과징금 강화와 함께 기업의 예방 역량을 키울 방안도 논의되고 있다.

다크웹에서는 보안 제한을 제거한 공격용 AI 모델 ‘웜GPT’와 ‘사기GPT’가 월 수십 달러의 구독형으로 거래된다. AI를 이용하면 공문 양식과 내부 결재 서식, 담당자의 말투를 흉내 낸 표적형 피싱을 빠르게 대량 제작할 수 있다.

주요 은행들은 탈취된 계정 정보를 대량 대입하는 크리덴셜 스터핑과 API 취약점 탐색 징후에도 대응했다. 한편 보안관제센터에는 하루 수십만 건의 경보가 쌓이고, 오탐을 걸러 차단 정책을 확정하는 일은 여전히 사람의 몫이어서 대응 인력의 부담도 크다.

개인정보 유출 과징금 산정 기준은 위반 관련 매출액에서 기업 전체 매출액의 최대 3%로 확대됐다. 고의나 중과실로 3년 안에 위반을 반복하거나 1000만 명 이상의 유출 피해를 낸 경우에는 최대 10%까지 가중할 수 있다.

산업계는 완벽한 방어가 어려운 상황에서 결과만으로 처벌하면 사고 신고와 정보 공유가 위축될 수 있다고 우려한다. 전문가들은 방어의 한계와 합리적인 보안 조치 이행 여부를 구분하고, 실제 예방 노력과 관리 소홀, 사고 후 대응을 함께 살펴 과징금의 적정성을 판단해야 한다고 제언했다.

투자 현황은 5대 은행에 한정해 보면 감소했다. 국민·신한·하나·우리·농협은행의 정보보호 투자액은 2025년 2144억원으로, 2024년 2197억원보다 2.4% 줄었다. 같은 기간 당기순이익은 15조1500억원에서 15조8049억원으로 늘었다.

순이익 대비 정보보호 투자 비율도 2021년 1.51%, 2024년 1.45%에 이어 2025년 1.36%로 낮아졌다.

예방 투자를 유도하는 방안으로는 세액공제와 위협정보 공유 확대가 제시됐다. 이해민 의원이 발의한 정보보호 세액공제법은 설비 투자와 보안 인력 채용 등을 지원하는 내용이다.

중소기업이 정보보호 인력을 신규 채용하면 1인당 최대 1000만원, 보안 설비에 투자하면 최대 25%를 공제하는 안이며, 중소기업에서 중견기업으로 전환한 지 3년 이내인 기업은 20%, 기존 중견기업과 대기업은 15%를 적용하도록 했다. 법안은 보도 당시 국회에 계류 중이었다.

이와 함께 통제된 AI 보안 점검, 화이트해커의 취약점 신고·조치, 기업 간 위협정보 공유, 중소기업의 진단과 보완 지원도 대안으로 거론됐다.