'전자금융거래 검증 미흡' 신한銀·한투증권 과태료

금융위원회 제공

금융위원회 제공

금융당국이 전자금융거래 시스템을 변경한 뒤 충분한 검증을 거치지 않아 예금출금과 과다이체 사고 등을 초래한 신한은행과 한국투자증권 등에 과태료를 부과했다. 금융투자협회는 내·외부 통신망 분리 미이행으로, 토스 운영사 비바리퍼블리카는 정보 관리 절차를 어긴 데 대해 과태료 조치했다.

19일 금융당국에 따르면 금융위원회는 전자금융거래법상 '안전성 확보의무 위반' 등의 사유로 신한은행에 과태료 3120만원, 한국투자증권에 과태료 4800만원을 부과했다. 금융투자협회와 비바리퍼블리카에 대해서도 각각 3000만원, 3720만원 부과를 의결했다.

신한은행은 모바일뱅킹 '쏠(SOL)' 내 외화예금 관련 기능 개선 등을 위한 프로젝트 수행 중 타 부서의 요청에 따라 기능을 추가·변경한 뒤 무결성 확보를 위한 테스트를 충분히 실시하지 않았다. 이에 2019년 12월 11일 오후 5시경부터 다음날 오전 9시까지 프로그램에 오류가 발생하여 공항 등의 영업점에서 2억5000여만원의 원화예금이 출금되지 않는 사고를 초래했다.

전자금융감독규정 제7조와 제28조에 의하면 금융회사는 프로그램의 운영시스템 적용은 처리하는 정보의 기밀성·무결성·가용성을 고려하며 충분한 테스트와 책임자 승인 후에 실시해야 하는데, 이를 어긴 것이다.

아울러 외화예금거래 출금사고에 관한 오류정정사항을 이용자에게 통지하는 과정에서 오류 발생 사실을 안 날부터 36일이 경과한 뒤 원인과 처리결과를 통지했다. 전자금융거래법(제8조 3항)과 전자금융거래법시행령(제7조의2)에 따르면 오류가 있음을 안 날로부터 2주 이내에 이용자에게 알려야 한다.

한국투자증권은 기존 프로그램을 변경하는 과정에서 채권입고 수량에 로직을 잘못 추가한 뒤 테스트 없이 시스템이 적용했다. 이에 2019년 9월 16일 키움증권 고객의 요청에 의해 한국투자증권 본인 계좌로 이체된 채권수량이 과다 입고되는 사고 발생을 초래했다. 이 역시 전자금융거래법감독규정 위반사항이다.

금융투자협회는 내부 업무용시스템을 인터넷 등 외부통신망과 분리·차단해야 하는데도, 망분리 이행을 완료하지 않아 외부에서 접속이 가능하도록 운영한 사실이 적발됐다. 전자금융거래법(제21조제2항)과 전자금융감독규정(제7조·제15조제1항제3호)에 따르면 금융회사는 해킹 등 전자적 침해행위로부터 방지하기 위해 망분리를 이행해야 한다.

비바리퍼블리카는 클라우드컴퓨팅서비스(클라우드)의 이용절차를 위반한 점이 적발됐다. 관련법에 따르면 전자금융업자는 비중요 정보처리시스템 지정 또는 클라우드 이용 시 지정절차를 수행해야 하는데, 비바리퍼블리카는 2015년부터 2018년까지 이를 지키지 않았다.

금감원의 검사 당시 회사의 전산실 내에 위치한 정보처리시스템과 단말기, 클라우드 내의 정보에 접속하는 단말기에 대해서도 외부통신망과 물리적으로 분리하지 않고 연결해 운영하기도 했다. 이 역시 전자금융거래법과 전자금융감독규정 위반 사항이다. 또한 서비스 약관 변경에 따른 이용자 통지 의무를 위반하기도 했다.

황두현기자 ausure@dt.co.kr