금융감독원, 음성 스푸핑 사건 이후 트레이딩 데스크 분기별 비밀번호 재설정 의무화

금융감독원은 8월 두 건의 음성 스푸핑 사건이 돼지 도살식 투자 사기와 같은 합성 음성 툴킷과 연결됐다고 조사관이 밝힌 뒤, 증권사에 트레이딩 데스크 비밀번호를 분기마다 재설정하고 고위험 주문은 등록된 전화 콜백으로 확인하도록 지시했다. LS증권 상시 위임 사건 이후 이메일 사기용으로 마련된 내부통제 규정을 확장한 것이다.

무엇이 깨졌나

별도 수사에서 서울·부산의 중견 증권사는 데스크 직원이 투자자 로드쇼에서 긁어온 클립으로 펀드매니저 목소리를 복제한 짧은 ‘컴플라이언스 승인’ 통화를 받아들이며 대량 매매와 현금 송금을 실행했다. 핵심 시스템은 침해되지 않았고, 공격자는 발신번호 스푸핑과 유튜브 공개 브리핑으로 학습한 생성형 음성을 결합했다. 금융감독원 관계자는 송금 데스크가 계좌를 동결하기 전 시도된 유출 합계가 410억 원을 넘었다고 목요일 준법감시인에게 배포한 서한에서 밝혔다.

패턴은 LS증권 논란—위조 이메일이 외국인 투자자 반복 주문을 이끌었던 사건—과 닮았으나 채널이 수신함에서 헤드셋으로 옮겨졌다. 경찰 사이버 부대는 한 조직이 신한은행이 8월 대포통장 단속에서 적발한 SIM 팜을 재사용했다고 말했으며, 사기 인프라가 소매 암호화폐 온램프에서 자본시장 사회공학으로 넘어오고 있다는 시사다.

금융감독원이 확인한 내용

금융감독원은 올해 초 LS 사건 사실조사를 마치고 이미 상시 위임 데스크에 지시를 아웃오브밴드로 검증하라고 촉구했다. 새 지침은 음성을 별도 공격 표면으로 명시한다. 5억 원을 넘는 주문, 트레이딩 단말 비밀번호 재설정, 콜백 번호 변경은 모두 전 분기 등록 번호를 써야 하며, 같은 통화나 채팅에서 제시된 번호는 쓸 수 없다.

분기별 비밀번호 교체는 주식 데스크 공유 ‘비상’ 계정과 주문관리시스템과 고객 포털을 잇는 미들웨어 콘솔에 적용된다. 증권사는 재설정 이벤트를 변조 방지 감사 저장소에 기록해 가을 점검 때 제시해야 한다. 한국금융투자협회는 데스크 직원이 음성·메신저로만 도착하는 ‘긴급’ 승인을 거절하는 샘플 스크립트를 공개할 예정이다.

책임은 어디에

법무팀은 InfoHandle에 서한이 새 법률을 만들지는 않지만 자본시장법 내부통제 규정에 대한 기대를 조인다고 말했다. 데스크가 콜백 없이 복제 통화에 따라 실행하면 범인이 형사 기소를 받더라도 절차 미비로 지적받을 수 있다. 소비자 단체는 승인 통화 녹음을 의무화하길 원했으나 금융감독원은 개인정보와 노조 반발을 이유로 멈추고, 기관 고객용 선택 녹음 회선은 권장했다.

상시 위임을 쓰는 외국인 투자자—LS 소송의 핵심 서비스—가 가장 노출된다. 금융감독원은 위임 계약 갱신 때 연락망을 새로고침해야 하며, 공격자가 이미 위조하는 이메일 스레드만 믿으면 안 된다고 했다.

벤더와 데스크의 대응

여의도 주문관리 벤더들은 데스크 로그인에 정적 비밀번호 대신 하드웨어 보안키 연결 요청이 급증했다고 전했다. 중소 증권사 결제를 맡는 두 은행은 티켓 메모에 음성 승인이 보이면 추가 결제 지연을 요구했다. 준법 교육자는 9월 훈련에 합성 음성 샘플을 넣어 주니어 트레이더가 평탄한 억양과 배경 소음 부재를 알아보도록 고친다.

업계 단체는 분기 재설정이 추석 인력 공백과 겹칠 수 있다고 경고했고, 금융감독원은 준법책임자가 온콜 명단을 문서화할 때만 한시 연장을 허용했다. 그 예외는 좁다—명절을 이유로 대량 거래 콜백을 건너뛸 수 없다.

데스크가 지금 해야 할 일

금융감독원은 데스크 리드가 단일 공개 콜백 디렉터리를 게시하고, 장중 변경을 막고, 모든 ‘CEO 긴급’ 요청을 법무 경유하라고 권한다. 증권사는 녹화된 로드쇼와 한국어 IR 팟캐스트가 복제용 음소를 충분히 노출하는지 테스트해야 하며, 여러 상장사는 이번 주 긴 Q&A 재생을 등록 벽 뒤로 옮겼다.

경찰은 증권사가 스푸핑 통화의 해시 메타데이터를 LS 사건 이후 개설된 금융감독원 공동 사이버 제보 라인으로 공유해 달라고 요청했다. 수사관은 용의자를 공개하지 않았지만 부산 한 조직이 로맨스 투자 사기에 쓰인 같은 음성 모델 구독을 빌렸다고 말했다.

일정

규정은 10월 1일 시행되며, 첫 분기 비밀번호 재설정은 11월 실적 시즌 전에 끝나야 한다. 그때 대량 거래가 늘어난다. 금융 AI 사기에 대한 국회 청문은 9월 말 예정이며, 야당 의원은 감독 지침을 넘는 법적 제재를 요구할 수 있다. 지금은 금융감독원이 집요한 콜백이 또 수십억 원 상시 위임 배상보다 싸다고 보는 것이다.

지침의 한계

서한은 별도 인증 규정이 있는 소매 모바일 뱅킹 보이스피싱을 다루지 않으며, 여러 벤더가 제안했으나 규제가 미성숙하다고 본 음성 인식 생체인증도 의무화하지 않는다. 금융감독원은 8월 두 사건의 공격 표면이 주식 현물 시장이었기 때문에 선물·FX 데스크는 2차 통지 때까지 제외했다.

확인된 것: 시스템은 해킹당하지 않았으나 사람은 속았다. 아직 모르는 것: 공개 사이트에 다음 복제를 기다리는 로드쇼 클립이 얼마나 남았는지. 그때까지 분기 비밀번호 재설정과 완강한 콜백이 한국 트레이딩 플로어의 규칙이다.