유럽 은행들, 사이버 공격에 대한 비상 계획 개선 요구 받아

유럽 은행들, 사이버 공격에 대한 비상 계획 개선 요구 받아

최근 중앙은행의 스트레스 테스트에서 유럽 은행들의 보안 취약점이 드러났다. 

이에따라 중앙은행은 사이버 보안에 대한 투자의 우선순위를 정해야 한다고 경고했다.

특히 최근 사이버 공격의 수가 증가하고 있기 때문에 문제가 심각하다고 중앙은행 감독관은 강조했다.

중앙은행은 2014년 11월부터 유로존의 대형 은행을 감독하고 있으며, 2024년에 처음으로 사이버 스트레스 테스트를 실시했다.

이 테스트는 금융 기관이 해커의 공격에 성공적으로 대응하여 일상적인 업무에 장애를 일으킬 경우 어떻게 대응하는지를 분석했다.

테스트에 참여한 109개 은행은 무엇보다도 비상 계획과 정상 운영을 복구하기 위한 조치를 테스트하도록 요청받았다. 사이버 공격을 예방하기 위한 조치에는 중점을 두지 않았다.

IT 보안은 향후 몇 년간 중앙은행 감독관들의 최우선 과제 중 하나이다.

중앙은행 감독운영위원회에서 IT 리스크를 담당하는 아넬리 투오미넨(Anneli Tuominen)은 “지금까지 사이버 공격은 전체 금융 시스템에 영향을 미치지 않았다. 그러나 심각한 사이버 공격이 성공하면 중대한 위협이 될 수 있다“고 설명했다.

무엇보다도 중앙은행은 은행이 만약 사이버 공격을 당한다면 그 이후 비즈니스 운영을 유지하기 위해 취하는 조치에 개선이 필요하다고 보고 있다고 독일 경제 전문지 한델스블랏트(Handelsblatt)는 보도했다. 

또한 감독 당국은 금융 기관이 고객 및 당국과의 커뮤니케이션을 포함하여 해커 공격에 대응하는 방법과 서비스 제공업체를 다루는 방법을 더 잘 계획할 필요가 있다고 평가하고, 이에 대한 개선을 각 유로존 대형 은행들에게 요청했다.

투오미넨은 "은행의 강력한 상호 연결성을 고려할 때, 최근 크라우드스트라이크(Crowdstrike)의 글로벌 서비스 중단 사태에서 보았듯이 한 기관의 사고가 여러 분야에 연쇄적으로 영향을 미칠 수 있다"고 강조했다. 

최근 크라우드스트라이크 IT 보안 소프트웨어 업데이트 결함으로 인해 전 세계 Windows 컴퓨터가 다운되는 사고가 발생했었다.그 결과 전 세계적으로 항공편 취소와 통신사 서비스 중단이 발생했다.

독일의 은행에서는 ATM에서 현금을 인출하는 데 일시적인 문제가 발생했지만 곧 해결되었었고, 다른 유럽 금융 기관에서도 심각한 장애는 발생하지 않았다.

IT 보안 전문가들은 은행이 다른 많은 분야의 기업보다 사이버 공격에 더 잘 대비하고 있다고 평가했다.

하지만 금융 기관에 대한 공격이 성공하면 최악의 경우 금융 안정성이 위태로워질 수 있기 때문에 규제 당국은 추가적인 개선을 요구하고 있다.투오미넨은 "은행은 사이버 보안에 대한 투자에 우선순위를 두어야 한다.

특히 인공지능의 사용은 더욱 정교한 사이버 공격의 위협이 되고 있다“고 강조했다.국제통화기금(IMF)에 따르면 코로나19 팬데믹 이후 은행에 대한 사이버 공격 건수가 두 배로 증가했다.

유럽중앙은행도 지정학적 긴장이 고조되면서 유럽 은행에 대한 해커 공격에 대한 보고를 훨씬 더 많이 받고 있다.예를 들어 해커들은 최근 협동조합 회사인 DG 부동산을 공격하여 수만 명의 지역 협동조합 은행 및 신용 조합 고객의 데이터를 훔쳤을 가능성이 있다.

테스트 후 중앙은행은 각 국 은행에 취약점에 대한 개별 보고서를 보내 특정 날짜까지 이를 시정하도록 요청했다.

그러나 스트레스 테스트가 당분간 은행의 자본 요건에 직접적인 영향을 미치지는 않을 것으로 예상된다.

중앙은행은 유럽 대형 은행들의 복원력을 정기적으로 테스트하고, 2년마다 정기적인 스트레스 테스트를 실시한다.

이는 일반적으로 경기 침체와 부동산 및 주가 하락이 은행의 자본 및 유동성 완충 장치에 어떤 영향을 미치는지 시뮬레이션한다.

일반 스트레스 테스트와 달리 중앙은행은 범죄자들이 가장 취약한 금융 기관을 즉시 공격할 위험성을 대비해 사이버 공격 테스트 후 개별 은행들의 결과값을 공개하지 않았다. 

독일 유로저널 김지혜 기자 jhkim@theeurojournal.com