같은 해킹에 사이버 사고 공시는 제각각… 국내 규정 부재 탓

신한은 사고 당일 미SEC 공시, KB는 미공시
국내엔 사이버 사고 투자자 공시 규정 없어
피해 규모 넘어 사고 유형 등도 고려해야

6일 서울 시내 한 건물에 설치된 시중 은행 현금 자동 입출금기(ATM) 앞을 시민들이 지나가고 있다. 뉴시스

금융권 전반을 향한 해킹 공격과 관련, 대상이 된 금융사들의 외부 공시 체계가 엇갈리고 있다. 시스템 침해가 발생했지만 이를 시장에 알릴 필요가 있는지를 두고 금융지주별 판단이 달랐다. 사이버보안 사고 공시 기준에 공백이 있는 것 아니냐는 지적이 나온다.

6일 금융권에 따르면 신한금융그룹은 신한은행의 보안사고 사실을 확인한 1일 미국 증권거래위원회(SEC)에 주요 경영사항에 대한 수시 공시인 '6-K' 보고서를 제출했다. 신한금융은 공시를 통해 "외부인이 신한은행의 일부 서비스에 접근해 고객정보를 확보한 사실을 확인했으며, 관계 당국 및 외부 보안전문가와 사고 원인과 피해 범위 등을 조사하고 있다"고 밝혔다.

---

신한금융, SEC에 해킹 피해 공시...'중대한 사고'로 판단

KB금융그룹과 신한금융은 모두 미국 증시에 주식예탁증서(ADR)를 상장해 SEC에 정기적으로 주요 경영사항을 공시해야 한다. 특히 SEC는 사이버보안 사고와 관련해 외국민간발행인이 유관기관이나 증권거래소, 투자자에게 공개했거나 공개해야 하는 '중대한 사고'가 발생하면 관련 내용을 6-K를 통해 미국 시장에도 신속히 알리도록 하고 있다. 사고의 중요성은 피해 규모뿐 아니라 투자자의 판단에 미칠 영향 등을 함께 고려해 판단한다.

KB국민은행은 사고 사실을 개인정보보호위원회에 신고했지만, 그룹 차원에서 SEC 공시는 하지 않았다. 앞서 국민은행에서는 비정상적인 외부 접근으로 직원용 모바일 업무지원시스템이 침해돼 고객 119명의 개인정보가 유출됐다.

KB금융은 이번 사고가 SEC 공시가 필요한 수준의 보안사고에 해당하는지 검토하고 있다는 입장이다. 금융권 관계자는 "국내 공시 기준 등을 토대로 신용정보법 위반이나 고객의 금전적 피해 발생 여부 등을 중요 사고 판단 기준으로 보고 있다"고 설명했다. 이번 사고는 현재까지 신용정보법 위반이나 금전적 피해가 확인되지 않아 SEC 공시 대상인지 확인하고 있다는 것이다.

---

KB금융, "금전적 피해·신용정보법 위반 사항 없어"

문제는 금융사의 자체 판단에 따라 비슷한 사이버보안 사고라도 시장에 공개되는 수준이 달라질 수 있다는 점이다. 특히 이번 공격은 금융권 전반을 향한 동시다발적 공격이라는 점에서 개별 회사의 피해나 금전적 손실만으로 중요도를 판단할 경우 공격 경로나 추가 침해 가능성, 내부통제와 보안체계에 미치는 영향 등이 시장에 전달되지 않을 수 있다는 지적이 나온다.

우리은행도 이번 공격 과정에서 외부의 비정상적인 접근 시도를 확인해 유관기관에 신고했다. 다만 실제 시스템 침해나 고객정보 유출은 확인되지 않아 그룹 차원의 SEC 공시는 하지 않았다.

미국과 달리 국내에는 사이버보안 사고 자체를 투자자에게 공시하도록 한 별도의 규정이 없다. 개인정보 유출이나 전자금융사고가 발생하면 관계기관에 신고해야 하지만, 이를 시장에 알리는 체계와는 차이가 있다. 현행 정보보호 공시제도 역시 정보보호 투자와 전담인력 등 기업의 보안 현황을 공개하는 데 초점이 맞춰져 있다.

최경진 가천대 교수 겸 개인정보전문가협회장은 "현재 정보보호 공시제도는 투자·인력·인증 등 기업의 정보보호 현황을 공개하는 수준"이라며 "기존 제도와 중복되지 않는 선에서 사이버보안 사고에 관한 공시도 강화할 필요가 있다"고 말했다.

신주희 기자 snowcarf2001@hankookilbo.com