사이버 위협에 대한 사전예방적 대응 역량 강화를 위해 2026년 금융권 블라인드 모의해킹 훈련을 연 2회로 확대 실시합니다

- 훈련 체계 전면 강화 및 대고객 AI 서비스 대상 레드티밍 최초 도입 -

□ 금융감독원은 금융보안원과 함께 5월에서 6월 중 2026년 상반기 ｢금융권 블라인드모의해킹훈련｣을 실시합니다.

 ◦ 블라인드모의해킹은 금융권의 사이버위협에 대한 사전예방적 대응역량을강화하기 위해 실시하는 훈련으로,

 ◦ 공격일시와 대상을 사전에 공개하지 않고 화이트해커의 불시공격을 통해 금융회사의 해킹탐지·방어능력과 비상대응체계를 점검하는 방식으로 진행합니다.

□ 특히, 올해에는 최근 고도화되는 사이버 위협과 금융권의 침해사고 양상을 반영하여, 훈련횟수를 종전 연 1회에서 연 2회(상·하반기)로 늘리고, 훈련 대상,기간, 공격유형을 확대하는 등 보다 강도높게 실시할 예정입니다. [1차: ’26.5월∼6월, 2차 : 하반기 별도 통보]

 ◦ ‘AI 레드티밍*’을 최초로 도입하여 금융회사들이 고객에게 생성형AI 서비스를 제공하는 과정에 발생할 수 있는 정보 유출 가능성, 비정상 응답 유도 등 새로운 유형의 보안위협에 대해 대응역량을 갖추고 있는지 확인하는 한편,

    * AI레드티밍(AIRedTeaming): AI모델의 신뢰성, 안전성을 확보하기위해 해커 관점의 공격을 통해 취약점을 발굴하고 대응적정성을 점검하는 모의해킹 기법

 ◦ 불시 DDoS공격, 서버해킹, 모의침투훈련등을 통해 금융회사의 해킹탐지·차단역량과 내부대응절차의 적정성·신속성 등을 중점 점검하고

 ◦ 현장방문훈련의 대상·기간을 대폭확대하여, 최근발생한 침해사고의 주된 원인으로 지목되는 외부 접속 인프라, 네트워크 취약점, 보안업데이트적정성 등을 면밀히 살펴볼 계획입니다.

□ 이종오디지털·IT 부원장보는 “이번 훈련은 4월 7일 발표한 ‘사전예방적 디지털 리스크 감독방안’의 하나로 추진하는 것”으로,

 ◦ “횟수·기간·대상을 대폭 확대했을 뿐만 아니라, 침해사고를 유발하는 주요취약점은 물론, 대고객 AI서비스를 겨냥한 신종 보안 위협까지 훈련 범위에 포함하여 실효성 있게 실시”하는 만큼

 ◦ “금융회사의 사이버위협대응역량을 강화하고, 침해사고를 예방하는 데 도움이 될 것으로 기대한다.”라고 밝혔습니다.

□ 금융감독원은 모의해킹에 참가한 금융회사들이 훈련을 통해 드러난 취약점을 즉시보완하도록 조치하는 한편,

 ◦ 공통된 주요취약점과 개선 필요사항은 다른 금융회사들이 참고할 수 있도록 전파하여 금융권전반의 보안 역량을 강화할 계획입니다.

 ◦ 특히, ‘고성능AI모델의 악용 가능성’ 등 최근 제기되는 AI 기반의 신규 사이버 위협에 대해서도 면밀히 모니터링하고, 금융권 보안에 미치는 영향을 검토하여 향후 훈련에 반영해 나갈 예정입니다.