한국 FSC, 가상자산거래소 해킹 사고 후 사이버보안 대개편 추진

한국 금융위원회(FSC)는 업권 전반에 걸친 점검에서 130개사의 보안 취약점이 드러나고 약 10만 명의 고객 개인정보가 유출된 사실이 확인된 후, 가상자산거래소를 포함한 금융기관에 대한 더 엄격한 사이버보안 요건을 마련하고 있다. 한국 디지털자산 고객이나 거래 상대방을 둔 회계법인, 감사인, CFO에게 이번 개정안은 먼 미래의 컴플라이언스 이슈가 아니라, 고객 리스크 평가 방식, 운영 통제 문서화 방식, 그리고 이러한 사건과 관련된 감사 추적을 가상자산 회계 소프트웨어가 어떻게 포착하는지에 즉각적인 영향을 미치는 사안이다.

FSC 점검에서 드러난 내용

FSC는 16개사에서 보안 사고가 발생한 것을 계기로 555개 금융회사를 대상으로 조사를 실시했다. 핵심 수치는 놀랍다. 조사 대상의 약 4분의 1에 해당하는 130개사에서 사이버보안 취약점이 발견됐다. 규제 당국은 해당 회사들에서 약 10만 건의 고객 정보가 유출됐으며, 여기에는 이름, 연락처, 신분증 번호 등이 포함됐다고 확인했다.

조사 중심에 선 가상자산거래소 사고

두 개의 디지털자산 사업자가 조사의 중심에 있다. Gopax 거래소를 운영하는 스트리미(Streami)와 가상자산 거래 플랫폼 프라방(Prabang)은 모두 10월 2일 해킹으로 일부 고객의 개인정보가 유출됐다고 이전에 공시했다. FSC는 해당 공격에 인공지능이 사용됐는지, 그리고 16개사 전반의 사고가 동일한 위협 행위자와 연관됐는지 여전히 조사 중이라고 밝혔다. 현 단계에서 귀속 주체는 확인되지 않았다.

Gopax와 프라방 사고는 즉각적인 고객 영향 이상의 의미가 있다. 두 플랫폼 모두 한국의 특정 금융거래정보의 보고 및 이용 등에 관한 법률에 따라 가상자산사업자(VASP) 등록을 보유하고 있다. 등록된 VASP에서의 데이터 유출은 규제 당국이 AML 및 KYC 의무와 함께 기대하는 운영 통제의 적절성에 대한 의문을 제기하며, 해당 플랫폼의 데이터 피드에 의존하는 모든 회계 또는 감사 업무에 복잡성을 더한다.

제안된 규제 개혁

FSC는 여러 구체적인 개혁 영역을 제시했으며, 모두 아직 제안 단계로 추가 의견 수렴과 정식 입법을 거쳐야 한다.

취약점 평가 빈도 확대

제안된 체계에 따르면 대형 금융기관은 연간 최소 2회의 취약점 평가를 받아야 한다. 현행 제도는 이보다 덜 규범적이며, 최소 반기 주기로의 전환은 보안 검토를 연례 행사로 취급해 온 회사에 감사 부담의 실질적 증가를 의미한다. 전통적 은행보다 컴플라이언스 인력이 부족한 경우가 많은 가상자산거래소에게 더 빈번한 평가의 비용과 운영 차질은 현실적 과제가 될 것이다.

위협 모니터링 강화와 소규모 회사를 위한 AI

FSC는 또한 업권 전체의 정보 공유 시스템을 강화할 계획이다. 여러 관할 당국의 규제 당국은 기관 간 및 규제 당국과의 위협 인텔리전스 공유가 개별 회사의 대응보다 사고를 더 빠르게 억제하는 데 도움이 된다는 사실을 확인했다. 한국도 같은 방향으로 움직이는 것으로 보인다.

소규모 회사의 경우 FSC는 인공지능 도구를 보안 모니터링 워크플로에 도입할 수 있는지 검토 중이다. 논리는 명확하다. 소규모 VASP는 일반적으로 대형 은행과 같은 수준의 인간 보안 운영을 감당할 수 없으며, AI 지원 모니터링이 그 격차를 일부 메울 수 있다. 현 단계에서 특정 도구나 표준은 명시되지 않았다.

긴급 위협에 대한 비주기적 검사

가장 운영적으로 중요한 요소는 긴급 위협이 발생할 때 정기 평가 일정 외에 추가 사이버보안 검사를 허용하는 제안일 것이다. 실제로 이는 규제 당국이 즉각적인 주의가 필요한 위협 패턴을 식별하면 등록된 VASP나 금융기관이 사전 예고 없는 또는 신속한 검토에 직면할 수 있음을 의미한다. 컴플라이언스 팀에게 이는 고정된 검사 일정의 예측 가능성을 제거하고, 예정된 검토 직전 몇 주가 아니라 연중 일관된 기준으로 보안 통제를 유지해야 한다는 요구를 제기한다.

경영진 책임 강화

FSC는 또한 사이버보안 기준을 충족하지 못한 회사의 경영진에 대한 책임을 강화할 계획이다. 구체적인 메커니즘은 아직 공개된 기록에서 상세히 밝혀지지 않았지만, 방향성은 아시아태평양과 유럽 전반의 더 넓은 규제 트렌드와 일치한다. 즉, 부적절한 통제를 감독한 고위 임원에 대한 개인적 책임으로 나아가는 것이다. 한국 VASP의 CFO와 CCO에게 이는 개혁 패키지 중 가장 직접적인 개인적 위험을 수반하는 요소다.

회계 및 감사 시사점

가상자산거래소의 사이버보안 유출은 단순한 IT 사건이 아니다. 이는 회계법인이나 감사인이 해당 기관과의 업무를 수행하는 방식, 그리고 그러한 플랫폼에 자산을 보유한 모든 회사의 CFO가 재무 보고를 생각하는 방식에 직접적인 영향을 미친다.

데이터 무결성과 감사 추적

유출로 고객 데이터가 노출되면 감사인의 첫 번째 질문은 거래 기록의 무결성도 훼손됐는지 여부다. 공격자가 개인정보를 처리하는 시스템에 접근했다면, 거래 데이터, 지갑 주소, 잔액 기록도 범위 내에 있었는지 묻는 것이 합리적이다. FSC 조사가 10월 2일 사고의 전체 범위를 확정할 때까지 Gopax나 프라방의 데이터 내보내기에 의존하는 감사인은 완전성과 정확성 진술에 추가적인 검증을 적용해야 한다.

API를 통해 거래소 데이터를 수집하기 위해 가상자산 부기 소프트웨어나 디지털자산 회계 소프트웨어를 사용하는 회사는 해당 API 연결이 사고 기간 중과 이후에도 안전하게 유지됐는지 검토해야 한다. 데이터 피드의 공백이나 가져온 기록의 설명되지 않는 불일치는 재무 보고 목적으로 데이터에 의존하기 전에 문서화된 조정이 필요하다.

계속기업 및 운영 리스크 평가

스트리미나 프라방과 직접 업무를 수행하는 감사인에게 이번 유출과 그에 따른 규제 조사는 중요한 사실이다. 고객 기록에 영향을 미친 공개 데이터 노출, 진행 중인 FSC 조사, 그리고 강화된 검사와 경영진 책임 조치의 가능성은 상승된 운영 리스크 프로필을 구성한다. 감사 파일은 그러한 평가를 반영해야 하며, 규제 결과가 제재, 라이선스 조건, 또는 상당한 시정 비용을 초래할 경우 계속기업 평가를 재검토해야 한다.

고객 온보딩과 거래 상대방 실사

새로운 한국 VASP 고객을 온보딩하거나 기존 고객을 검토하는 회계법인은 FSC 검토를 자체 실사에 반영해야 한다. 130개 취약 회사 목록에 오른 회사는 검토를 깨끗하게 통과한 회사보다 위험이 높은 고객이다. 고객의 검토 상태가 아직 공개되지 않은 경우 실무자는 직접 질문하고 답변을 문서화해야 한다. 같은 논리는 한국 거래소에 자산을 보유한 재무 기능을 가진 CFO에게도 적용된다. 거래소 보안 통제의 적절성은 이제 가정이 아니라 문서화된 규제 사안이다.

더 넓은 맥락: 한국의 VASP 환경 강화

이번 사이버보안 개편은 고립되어 있지 않다. 한국은 여러 차원에서 VASP 규제 체계를 꾸준히 강화해 왔다. FSC와 금융정보분석원(FIU)은 이전에 무허가 운영자에 대해 조치를 취한 바 있으며, 올해 초 한국의 FATF 운영위원회 진출은 정부의 신뢰할 수 있는 AML 및 운영 기준 유지에 대한 초점을 날카롭게 했다. 한국 디지털자산 고객을 자문하는 실무자는 사이버보안 개혁 제안을 단일 사고에 대한 일회성 대응이 아니라 그러한 더 넓은 패턴의 일부로 읽어야 한다.

이 진화하는 환경에 발맞춰야 하는 회계법인에게 데이터 이상을 표시하고, 명확한 감사 추적을 유지하며, 컴플라이언스 워크플로와 통합할 수 있는 견고한 가상자산 회계 소프트웨어를 갖추는 것은 점점 차별화 요소가 아니라 기본 기대치가 되고 있다. FSC의 제안된 개혁은 그러한 기대를 규정에서 명시적으로 만들 것이다.

한국의 VASP 집행 환경에 대한 이전 보도는 한국이 27개 무허가 가상자산거래소를 차단한 것과 AML 및 라이선스 시사점에 대한 분석과 한국의 FATF 운영위원회 진출이 디지털자산 회사의 AML 정책 기대를 재편하는 방식에 대한 보고서를 참조하라.

회사가 지금 해야 할 일

개혁은 제안된 것이지 아직 제정된 것이 아니다. 이는 컴플라이언스 마감이 아니라 준비를 위한 창을 만든다. 그러나 최종 규칙을 기다렸다가 격차 분석을 시작하는 회사는 압박을 받게 될 것이다.

회계법인과 감사인을 위한 즉각적 조치

첫째, 등록된 한국 VASP이거나 한국 거래소에 중요한 자산을 보유한 모든 고객 또는 거래 상대방을 식별한다. 둘째, 그러한 기관 중 16개 조사 대상이나 130개 취약 회사에 포함된 곳이 있는지 공개되는 FSC 공시를 활용해 확인한다. 셋째, 현재 또는 최근 감사 업무에 사용된 거래소 출처 기록의 데이터 무결성을 검토하며, 특히 2026년 10월 2일 전후 기간을 중점적으로 본다. 넷째, 상승된 규제 환경을 반영하도록 고객 리스크 평가와 업무 약정서를 업데이트한다.

CFO를 위한 즉각적 조치

한국 거래소에 재무 자산을 보유한 회사의 CFO는 해당 거래소에 10월 2일 사고의 범위와 자사 계좌가 영향을 받은 범위 내에 있었는지에 대한 서면 확인을 요청해야 한다. 그러한 확인 또는 확인의 부재는 회사의 리스크 등록부에 문서화되어야 한다. 거래소가 적절한 보증을 제공할 수 없는 경우 CFO는 다음 보고 기간이 마감되기 전에 수탁 약정을 검토해야 하는지 평가해야 한다.

Source: Cointelegraph