정부, 책임전가 논란 ‘은행 설치형 보안 프로그램’ 걷어낸다

금융사기 피해 책임을 소비자에게 떠넘기고
보안도 취약하다는 지적 계속적으로 이어져

픽사베이

은행 누리집에 접속해 인터넷뱅킹을 이용하려면 대다수 은행은 ‘보안 프로그램’ 설치를 요구한다. 번거롭더라도 내 돈과 개인정보를 확실하게 지켜주는 수단이라고 여기면 감수할 만한 불편이다. 하지만 정부는 이 설치형 보안 프로그램을 단계적으로 걷어내는 방안을 추진하고 있다. 오히려 보안에 취약하다는 지적과 함께 전자 금융사기 피해의 책임을 소비자에게 전가하는 수단이라는 비판이 이어져 왔기 때문이다.

12일 금융당국 등에 따르면 금융감독원은 최근 은행·보험 등 각 업권을 대상으로 설치형 보안 소프트웨어를 축소·제거하는 방안에 대한 의견 수렴에 나섰다. 지난해 말 범정부 정보보호 종합대책에 ‘설치 강요형 보안 소프트웨어 단계적 제한’이 포함된 데 따른 후속 조처다. 금융당국 관계자는 “문제 제기가 지속돼 온 사안으로, 실제 적용 가능한 범위와 방식에 대해 금융권 의견을 모으고 있다”고 말했다.

은행 누리집에 접속해 조회·이체 등 인터넷뱅킹을 사용하려면 키보드 보안, 방화벽, 인증서 관리 프로그램 등을 내려받도록 안내한다. 이는 현재는 사라진 공인인증서 제도의 후속 조처였다. 2014년 ‘별에서 온 그대’ 천송이 코트 논란을 계기로 액티브엑스(X) 문제가 불거지면서 공인인증서 의무 사용은 폐지됐지만, 금융권은 키보드 보안·방화벽·인증서 관리 프로그램 등 ‘보안 3종 세트’를 설치하도록 하는 방식으로 이를 대체했다.

문제는 이 방식이 되레 보안에 취약할 수 있다는 점이다. 지난해 카이스트·고려대·성균관대 공동 연구팀이 국내 금융기관이 설치를 요구하는 보안 프로그램 7종을 분석한 결과, 키보드 입력 탈취·중간자 공격·인증서 유출 등 19건의 심각한 취약점이 드러났다. 이용자가 입력한 정보가 외부로 전송되거나, 악성 코드가 설치되는 등 이들 프로그램이 오히려 해킹 통로가 될 수 있다는 연구 결과다.

키보드 보안 프로그램을 해킹해 피해자가 입력하는 키보드 입력 내용을 가로채어 자신에게 전송하는 모습. 카이스트·고려대·성균관대 공동 연구팀 제공 영상 갈무리.

전문가들은 이런 방식이 국제 기준과도 맞지 않는다고 지적한다. 연구에 참여한 김승주 고려대 정보보안대학원 교수는 “전 세계적으로 별도 프로그램을 내려받아 설치를 요구하는 방식 자체를 위험한 행위로 인식하고 있다”며 “설치형 보안 프로그램은 한국에서만 쓰이는 방식으로, 관리자 권한까지 요구하는 특성상 한 번 뚫리면 피해가 크게 확산될 수 있다”고 말했다.

설치형 프로그램이 금융사의 책임 회피 수단으로 작동한다는 비판도 나온다. 김기창 고려대 법학전문대학원 교수는 “보안 프로그램을 설치했다는 이유로 사고가 나면 금융사가 아니라 이용자 과실을 탓하는 구조가 유지되고, 법원도 개인에게 책임을 묻는 판결을 반복하고 있다”며 “사고 책임을 금융회사에 물어야 실질적인 보안 수준도 높아질 수 있다”고 지적했다.

하나은행 누리집의 보안 프로그램 설치 페이지. 누리집 갈무리

금융권은 설치형 프로그램을 걷어낼 경우 보안 공백이 발생할 수 있다며 난감해하는 분위기다. 한 금융권 관계자는 “도입 취지에는 공감하지만, 당장 전면적으로 없애려면 기술적인 보완이나 정보기술(IT) 규제 정비가 함께 이뤄져야 한다”며 “너무 성급하게 해제하는 것은 오히려 위험할 수 있다”고 말했다.

반면 김승주 교수는 금융권의 이런 주장을 강하게 비판했다. 그는 “이 문제는 과거 액티브엑스(X)·공인인증서 논란이 불거진 이후 10년 가까이 반복돼온 사안인 만큼 준비 기간이 부족했다는 주장은 납득하기 어렵다”며 “결국 보안 수준을 높이기 위한 투자 부담을 최소화하려는 논리로 보인다”고 말했다.

이미 일부 은행은 보안 프로그램을 설치하지 않아도 서비스를 이용할 수 있도록 하고 있다. 보안 프로그램 없이도 보안을 유지하는 데 기술적인 문제가 없다는 점을 보여주는 셈이다. 현재 인터넷뱅킹을 제공하는 은행 가운데 국민·아이엠(iM)·제일·산업·기업은행 등 5곳은 별도의 프로그램을 설치하지 않아도 이용이 가능하다. 반면 우리은행은 일부 서비스만 가능하고, 하나·신한·농협·수협·부산·경남·전북·광주·제주은행 등은 보안 프로그램을 설치해야 이용할 수 있다.

안태호 기자 eco@hani.co.kr