금융필수 보안SW가 해킹에 악용되는 현실에 대한 보고서

금융보안을 둘러싼 ‘강제적 안전’의 역설: 누구를 위한 보호인가
금융은 기술적 진보의 최전선에 있으면서도, 동시에 극단적으로 보수적인 보안 패러다임에 종속되어 있는 분야다. 디지털 트랜잭션이 일상화된 지금, 보안은 선택이 아닌 생존의 문제이며, 특히 국가 단위로 일괄 적용되는 금융 보안정책은 그 사회의 기술철학과 위험관리 관점을 가장 집약적으로 드러낸다. 그러나 한국의 금융 보안 체계는 특이하게도 ‘이용자에게 책임을 부여하는 방식’이 아니라, ‘이용자의 시스템에 무조건 개입하는 방식’을 택하고 있다. 이는 다분히 한국적 행정주의왿� IT 민간시장 간의 공생구조가 맞물리며 형성된 결과이며, 그로 인해 금융보안은 기술 논리보다는 제도 논리에 종속되어 버렸다.
대다수 한국 금융기관은 여전히 사용자 단말기에 특정 보안 프로그램의 설치를 요구한다. 이 설치는 임의가 아니라 의무이며, 설치 없이는 금융 서비스를 이용할 수 없다. 문제는, 이러한 ‘강제된 보안’이 실제로는 사용자를 보호하는 것이 아니라 오히려 위험을 가중시킬 수 있다는 점이다. 보안을 위한 프로그램이 공격자의 통로가 되는 상황은 단순한 버그의 문제가 아니라, ‘안전하다고 여긴 구조 자체’가 위협의 발화점이 되고 있는 것이다. 즉, 보안을 위해 만들어진 시스템이 그 본래 목적과는 역방향의 결과를 낳고 있는 역설적인 현실에 우리는 직면해 있다.
보안은 본래 신뢰를 기반으로 설계되어야 한다. 사용자가 기술을 신뢰할 수 있고, 기술이 시스템의 본질적 구조를 해치지 않는 조건에서만 보안은 작동할 수 있다. 그러나 한국의 금융보안 구조는 그 신뢰를 ‘강제’로 대체해왔다. 웹 표준과 브라우저 보안 모델이라는 국제적 기술 합의를 무시하고, 독자적이고 폐쇄적인 실행 파일 기반의 보안 시스템을 유지해온 결과, 한국은 세계에서 보기 드물게 사용자 시스템 내 깊숙이 침투하는 보안 방식을 채택한 국가가 되었다.