간단한 비밀번호, 더 빨라진 금융 위협에 직면
2026년 11월 6일 호찌민시에서 열린 베트남 디지털 금융 보안 포럼에서 발표된 자료에 따르면 베트남 사용자 계정 약 190만 개가 여전히 “123456”과 같은 쉬운 비밀번호에 의존하고 있다. 은행들이 의심스러운 송금을 포착하고 도난당한 돈의 회수를 돕기 위한 시스템을 확대하는 가운데 나온 경고다.
목차
공안부 사이버보안·첨단기술범죄예방국(A05) 부국장인 응우옌 바 선 대령은 당국이 2026년 상반기에 자산을 도난당한 온라인 사기 사건을 약 1,000건 기록했다고 밝혔다. 피해액은 수조 동에 달했다.
금융기관들은 여러 방면에서 압박을 받고 있다. 범죄자들은 인공지능을 이용해 더 빠르게 공격을 준비하고, 고객들은 여전히 사칭에 취약하며, 일부 조직은 기본적인 보안 통제조차 갖추지 못했다. 한편 디지털 결제는 인구 상당수에게 일상적인 서비스가 됐다.
베트남 중앙은행 정보기술국 부국장 호앙 민 띠엔이 발표한 자료는 그 규모를 보여준다. 베트남에서는 2026년 첫 8개월 동안 현금 없는 거래가 210억 건 넘게 처리됐고, 금액은 260경 동을 넘어섰다. 많은 신용기관에서 디지털 채널을 통한 거래가 전체의 95%를 웃돈다.
이번 포럼에는 국가사이버보안협회, 베트남 투자미디어그룹, 중앙은행, 베트남은행협회가 참여했다. 참석자들은 쉽게 추측할 수 있는 비밀번호라는 익숙한 취약점과 사기 결제 전·중·후에 고객을 보호해야 하는 더 광범위한 과제를 연결해 논의했다.
공격은 줄었지만 피해를 신고한 조직은 늘어
국가사이버보안협회의 2025년 조사·연구 보고서는 베트남이 그해 약 55만2,000건의 사이버 공격을 받았다고 추산했다. 2024년보다 19.38% 감소한 수치다. 협회 기술부는 2025년 12월 5,300곳이 넘는 조직의 응답을 바탕으로 조사를 실시했다.
정부의 조사 요약에 따르면 피해를 신고한 기관·기업의 비율은 2024년 46.15%에서 2025년 52.30%로 상승했다. 공격 건수 추산은 감소했지만 비율은 6.15%포인트 높아졌다.
협회는 공격자들이 표적을 더 선별하고, 치밀하게 준비하며, 공격 대상의 취약점을 더 깊이 파고든다고 설명했다. 따라서 조직이 마주하는 실질적 위험은 공격 시도 횟수뿐 아니라 침입으로 발생하는 피해 규모에도 달려 있다.
포럼에서 국가사이버보안협회와 비엣텔 사이버시큐리티에 인용된 자료에 따르면 금융·은행 부문이 공격의 약 41%를 차지했다. 선 대령은 이 부문이 국제 해킹 조직과 사이버 범죄자들의 주요 표적이라고도 밝혔다.
도난당한 데이터가 장기적인 피해를 일으키는 이유
협회는 2025년의 주요 공격 유형으로 서비스 거부 공격, 도박 광고 링크 삽입, 표적 사이버 첩보, 데이터 절도, 랜섬웨어 등 다섯 가지를 꼽았다. 서비스 거부 공격은 트래픽을 폭주시켜 서비스를 마비시키며, 랜섬웨어는 정보를 암호화해 접근을 막고 복구 대가를 요구한다.
공격자들은 이런 수법을 결합할 수 있다. 협회는 보안팀의 주의를 분산시키는 교란 공격을 벌이는 동시에 침입자가 네트워크의 다른 영역에 몰래 들어가 악성 소프트웨어를 설치하고 잠복하는 사례를 설명했다.
협회 기술부장 부 응옥 선은 범죄자들이 먼저 가치 있는 정보를 훔쳐 판매하거나 교환하고 추가로 악용한 뒤, 더 훔칠 기회가 사라지면 피해자의 데이터를 암호화해 몸값을 요구하는 수법을 설명했다.
따라서 은행이나 기업이 시스템을 복구한 뒤에도 고객 정보는 계속 노출될 수 있다. 백업은 조직이 파일을 복구하는 데 도움이 되지만, 정보에 접근할 수 있는 사람을 통제하고 비정상적인 접근을 감지하는 시스템을 갖춰야 도난을 막을 수 있다.
협회는 2025년 평가에서 데이터 침입과 절도를 가장 큰 피해를 일으키는 사고 유형으로 꼽았다. 2026년 전망에서는 데이터 보안과 AI를 이용한 자동화 공격을 핵심 우려 사항으로 제시했으며, 이는 포럼에서 논의된 은행권 위험에 대한 경고와도 맥을 같이한다.
AI가 은행 업무와 범죄를 모두 가속화
선은 범죄자들이 취약점을 찾고 공격을 준비하는 시간을 단축하기 위해 AI를 활용하고 있다고 밝혔다. 과거에는 수개월이 걸릴 수 있었던 대규모 금융정보시스템 공격 작업을 이제 훨씬 빠르게 끝낼 수 있다고 했지만, 구체적인 소요 시간은 밝히지 않았다.
베트남은행협회 부회장 겸 사무총장이자 중앙은행 상임 부총재를 지낸 다오 민 뚜 박사는 고객이 직접 조작하는 애플리케이션을 넘어서는 은행권의 변화를 설명했다. 은행들은 고객과 소통하고 자동으로 지원하는 서비스를 개발하고 있다.
뚜는 베트남 기업의 약 80%가 AI를 도입했으며, 신용평가, 전자 신원확인, 사기 탐지, 자금세탁 점검 등을 위해 AI를 사용하는 신용기관은 70%가 넘는다고 밝혔다. 신용평가는 대출 기관이 차입자의 상환 능력을 판단하는 데 쓰이며, 전자 신원확인은 고객의 신원을 원격으로 확인하는 절차다.
HDBank 부사장 담 테 타이는 은행이 거래가 이뤄지는 동안 사기를 탐지하는 AI와 2~3분 안에 끝나는 자동 신용평가·승인 절차를 시험 중이라고 밝혔다.
그러나 준비 수준은 고르지 않다. 포럼에서 인용된 시스코 AI 준비도 지수에 따르면 베트남 기업 중 AI 도입 준비를 완전히 마친 곳은 13%에 불과했다. 약 63%는 기술 인프라의 확장·적응 역량 개선을 최우선 과제로 꼽았다. AI 도구를 도입하는 것과 이를 안전하게 활용하는 데 필요한 데이터·장비·통제 체계를 갖추는 것은 서로 다른 단계다.
취약한 비밀번호와 정교한 사칭
간단한 비밀번호를 사용하는 계정이 약 190만 개라는 사실은 고객 차원의 취약점을 보여준다. “123456”처럼 예측하기 쉬운 숫자 배열은 범죄자가 계정에 접근하려 할 때 더 쉽게 발을 들여놓게 한다.
포럼에서 발표된 조사 결과에 따르면 딥페이크를 우려한다고 답한 응답자는 36%에 불과해 조사 대상 위험 가운데 가장 낮은 비율을 기록했다. 딥페이크는 AI로 생성하거나 조작해 누군가가 실제로 하지 않은 말이나 행동을 한 것처럼 보이게 하는 이미지·영상·음성이다.
뚜는 범죄자들이 가짜 신원과 치밀하게 꾸민 사기 시나리오를 결합해 사람들을 설득하고 스스로 돈을 송금하게 할 수 있다고 경고했다. 이런 사기는 은행 애플리케이션을 노골적으로 침입하는 대신, 익숙해 보이는 얼굴이나 목소리를 통해 고객에게 접근할 수 있다.
타이는 은행 기술과 함께 고객의 지식과 신뢰도 필수적이라고 강조했다. 은행, 통신사, 전자지갑, 디지털 플랫폼, 규제기관이 디지털 서비스에 대한 공동의 신뢰를 쌓는 데 힘을 모아야 한다고 촉구했다.
포럼 자료에는 조사 대상 계정의 전체 수와 취약한 비밀번호를 식별한 방법이 명시되지 않았다. 따라서 약 190만 개라는 수치만으로는 베트남 계정 전체에서 차지하는 비율을 알 수 없다.
식당에서 발생한 카드 칩 절도 사건이 드러낸 또 다른 허점
선은 2025년에 적발된 사건을 소개했다. 용의자는 고급 식당 종업원인 것처럼 행세했고, 고객이 결제를 위해 은행 카드를 건네면 몰래 카드 칩을 떼어냈다.
용의자는 떼어낸 칩을 다른 카드 공백에 붙여 만든 카드로 최신 아이폰 여러 대를 구매해 2억 동이 넘는 돈을 훔쳤다. 미화 약 7,700달러에 해당하는 금액이다.
이후 경찰은 중앙은행과 협력해 상업은행들에 통지하고 칩이 장착된 실물 카드 관련 서비스를 점검·조정해 달라고 요청했다.
이 사건은 보안 과제가 비밀번호와 은행 애플리케이션에만 국한되지 않음을 보여준다. 고객의 카드는 상점과 식당의 직원과 결제 절차를 거치기도 한다. 은행이 디지털 네트워크 보호에 집중하는 사이 범죄자들은 카드 취급 과정을 악용할 수 있다.
경고로 의심스러운 결제를 이미 막고 있다
띠엔이 발표한 자료에 따르면 중앙은행의 모니터링 시스템은 금융기관 약 100곳과 연결돼 있으며 위반 징후가 있는 계정 66만8,000개 이상을 식별했다. 은행들은 수백만 건의 경고를 발령했고, 수조 동 규모의 자금을 회수하거나 일시적으로 지급 정지하는 데 협력했다.
결제 위험 관리·모니터링·사기 방지를 지원하는 정보시스템 시모(SIMO)는 2025년부터 2026년 10월까지 고객에게 580만 건의 경고를 보냈다. 이후 고객이 의심스러운 거래를 중단하거나 취소한 사례는 약 190만 건으로, 관련 금액은 거의 7조2,000억 동에 달했다.
이는 경고 약 3건당 거래 1건이 중단되거나 취소된 셈이다. 집계에는 경고 건수와 고객의 대응 사례가 포함되므로, 여러 차례 경고를 받은 고객은 중복 집계됐을 수 있다.
시모에서 집계한 거래 중단·취소 사례 약 190만 건은 결제 경고와 관련된 수치다. 비슷한 규모인 취약한 비밀번호 사용 계정 수는 계정 보안에 관한 수치다. 두 수치는 계정 접근과 송금 결정이라는 두 지점 모두에서 보호가 중요하다는 점을 보여준다.
고객에게 경고는 돈이 빠져나가기 전에 멈춰 생각할 기회를 준다. 은행과 경찰은 정보를 연계해 의심스러운 자금이 어디로 이동하는지 파악하고 더 신속히 대응할 수 있다.
은행 간 도난 자금 추적
공안부와 중앙은행은 사기와 관련된 자금이 은행 계좌를 거쳐 이동하는 경로를 추적하기 위한 체계를 마련하고 있다. 선은 두 기관이 11월 6일 포럼 사흘 전 실무 회의를 열어 자금 흐름 추적·대조 시범 시스템을 논의했다고 밝혔다.
은행권 프로그램에 대해 발표된 세부 내용에 따르면 주요 상업은행에서 추적과 긴급 차단 시범 사업이 2026년 6월 시작됐으며, 2027년 1분기에 은행권 전반으로 확대할 계획이다. 선의 설명은 11월 초에 이뤄진 추가 논의에 초점을 맞췄다.
범죄자들은 훔친 돈을 몇 분 만에 여러 계좌와 중개자를 거쳐 옮길 수 있기 때문에 신속한 대응이 중요하다. 최초 수취 은행에만 대응을 맡기면 돈이 다른 곳으로 이동하면서 추적이 금세 어려워질 수 있다.
주요 날짜와 기간은 다음과 같다.
- 2025년 12월: 국가사이버보안협회가 연례 평가를 위해 5,300곳이 넘는 조직을 조사했다.
- 2026년 1~6월: 당국은 자산을 도난당한 온라인 사기 사건을 약 1,000건 기록했다.
- 2026년 6월: 은행권 프로그램이 은행 간 송금의 긴급 추적·차단 시범 사업을 시작한 시점으로 제시한 날짜다.
- 2026년 11월 3일: 포럼 사흘 전 회의에서 경찰과 중앙은행이 제안된 추적·대조 시스템을 논의했다고 선은 밝혔다.
- 2027년 1분기: 은행권 전반으로 추적 솔루션을 확대할 계획이다.
뚜는 기관들이 보안·개인정보 보호 규정에 따라 정보를 공유할 수 있도록 통합 금융 데이터 플랫폼을 구축하자고 제안했다. 타이도 은행, 통신사, 전자지갑, 인가받은 디지털 자산 거래소가 사건 발생 시점에 사기 경고를 공유하자고 제안했다.
보안 투자에도 기본적인 허점 남아
띠엔은 상업은행들이 디지털 전환 투자액의 약 17.2%를 정보 안전과 사이버 보안에 투입한다고 말했다. 그는 위험 평가, 보안 테스트, 사고 대응 훈련, 기술 공급업체 감독도 촉구했다.
기관·기업을 대상으로 한 협회의 광범위한 조사에서는 대비 수준이 개선된 것으로 나타났다. 75.93%가 사이버 보안 인식 교육을 실시했고, 51.45%는 보안 훈련을 진행했으며, 51.65%는 보안운영센터를 구축했거나 운영 중이었다. 백업 시스템을 갖춘 곳은 76.35%였다. 보안운영센터는 모니터링과 사고 대응 기능을 한곳에 모은 조직이다.
조사 대상 조직 전반에는 기본적인 취약점이 남아 있었다. 47.72%는 사이버 보안 담당 인력이 없었고, 27.80%는 내부 사이버 보안 기준이 없었으며, 51.87%는 악성 프로그램 대응 소프트웨어를 중앙에서 관리하지 않았다.
또 8.71%는 백신 소프트웨어를 전혀 사용하지 않았고, 9.38%는 인터넷 접근을 통제하는 방화벽 같은 장치를 갖추지 않았다. 이 수치는 상업은행에 국한하지 않고 기관과 기업을 대상으로 한 더 광범위한 조사 결과다.
실질적인 격차는 직원 교육과 조직 전체에 걸친 보호 체계 유지 사이에 있다. 교육은 직원들이 위험을 알아차리는 데 도움이 되지만, 효과적인 방어를 위해서는 시스템 모니터링 인력, 일관된 소프트웨어 배포, 공격이 성공했을 때 대응하기 위한 절차 훈련도 필요하다.
데이터 규정과 양자컴퓨팅 대비
뚜는 베트남의 데이터법과 개인정보 보호법에 따라 은행 정보, 개인정보, 생체정보를 더 엄격히 보호하자고 제안했다. 생체정보에는 신원 확인에 사용되는 얼굴이나 지문과 같은 신체적 식별 정보가 포함된다.
그는 중요 데이터를 베트남 내 보안 데이터센터에 저장·처리해야 한다고 촉구했다. AI 시스템 통제 책임을 명확히 하고, 규모가 크거나 민감도가 높은 거래에는 사람의 승인을 받도록 하는 방안도 제안에 포함됐다.
뚜는 데이터 표준화가 미흡하고 AI 모델에 대한 통제가 약하면 자동화된 의사결정과 고객 개인정보 보호 모두에 영향을 줄 수 있다고 경고했다. 신속하게 판단하는 은행 시스템이라도 신뢰할 수 있는 정보와 민감한 조치를 검토하는 명확한 절차가 필요하다.
양자컴퓨팅은 장기적인 우려 사항이다. 뚜는 양자컴퓨터의 연산 능력이 결제, 디지털 서명, 은행 데이터를 보호하는 일부 기존 암호화 방식을 위협할 수 있다고 경고했다. 디지털 서명은 누가 전자 지시를 승인했는지, 내용이 변경됐는지를 확인하는 데 도움이 된다.
뚜는 은행들에 현재 암호화 방식에 대한 의존도를 평가하고 양자컴퓨터를 이용한 공격에도 견딜 수 있도록 설계된 양자내성 암호로 전환할 계획을 세우라고 촉구했다. 그의 폭넓은 메시지는 이러한 기술적 대비와 대중의 신뢰를 연결했다. 베트남 성인의 약 89%가 결제 계좌를 보유한 만큼 디지털 뱅킹을 안전하게 지키는 일은 일상적인 금융 서비스를 보호하는 일이 됐다.
핵심 내용
- 2026년 11월 6일 금융 보안 포럼에서 발표된 자료에 따르면 베트남 계정 약 190만 개가 여전히 간단한 비밀번호를 사용한다.
- 베트남은 2025년 약 55만2,000건의 사이버 공격을 받은 것으로 추산됐다. 공격은 19.38% 감소했지만, 피해를 신고한 조사 대상 조직의 비율은 52.30%로 상승했다.
- 당국은 2026년 상반기에 온라인 사기 사건을 약 1,000건 기록했으며, 피해액은 수조 동에 달했다.
- 시모는 2026년 10월까지 580만 건의 경고를 발송했고, 이후 고객이 거의 7조2,000억 동 규모의 의심스러운 거래를 중단하거나 취소한 사례가 약 190만 건 발생했다.
- 의심스러운 사기 자금을 추적하고 긴급 차단하는 시범 사업은 2027년 1분기에 은행권 전반으로 확대될 예정이다.
- 포럼에서는 데이터 보호 강화, 사기 경고 공유, 민감한 AI 의사결정에 대한 사람의 통제, 양자컴퓨팅 위험 대비 등이 제안됐다.
