신한은행 대출모집 시스템, '전자금융기반시설' 인정되나…해킹 사고 제재·수사 핵심 변수

[구멍 난 금융보안]⑤
인정 땐 추가 보안 관리 의무 적용
경찰·중수청 수사 관할에 영향
책임 소재·은행장 인선에도 여파
국민·하나 침해 시스템 해당 가능성 낮아

주요 시중은행을 비롯한 금융권 연쇄 해킹 사고와 관련해 신한은행의 대출모집인 조회 시스템이 '전자금융기반시설'에 해당하는지가 핵심 쟁점으로 떠오르고 있다. 전자금융기반시설로 인정될 경우 추가적인 보안·관리 의무 이행 여부가 검사·제재 판단에 포함되는 데다 경찰과 중대범죄수사청(중수청) 간 수사 관할에도 영향을 미칠 수 있어서다. 후속 검사·수사와 경영진 책임 소재, 차기 은행장 인선 등에도 변수가 될 수 있어 금융권이 금융당국의 판단을 주시하고 있다.

7일 금융당국에 따르면 금융위원회는 이번 해킹 사고로 침해된 금융기관의 시스템이 전자금융거래법(전금법)상 전자금융기반시설에 해당하는지 검토하고 있다. 경찰도 중수청과의 수사 관할 문제를 명확히 하기 위해 금융위에 유권해석을 요청한 상태다.

피해가 확인된 시중은행 가운데 KB국민은행과 하나은행의 침해 시스템은 전자금융기반시설로 보기 어렵다는 분석이 우세하다. 국민은행은 직원용 모바일 업무 시스템, 하나은행은 영업지원 시스템이 침해됐다. 반면 신한은행의 대출모집인 조회 시스템은 전자금융기반시설 해당 여부를 두고 해석의 여지가 있다.

복수의 금융당국 관계자는 "전자금융기반시설의 범위를 두고 모호한 부분이 있어 어디까지 인정할 지가 관건"이라며 "대출모집인 관련 시스템처럼 내부 인력이 조회하는 영역까지 전자금융거래에 이용되는 것으로 볼 수 있을지는 판단이 필요한 부분"이라고 밝혔다. 이어 "법령상 요건을 면밀히 따져 유권해석을 내린 뒤 경찰에도 전달할 것"이라고 덧붙였다.

전금법상 전자금융기반시설은 전자금융거래에 이용되는 정보처리시스템과 정보통신망 등을 의미한다. 예금 가입이나 자금 이체, 대출 실행 등 인터넷·모바일뱅킹을 통해 실제 금융거래가 이뤄지는 시스템이 대표적이다. 신한은행의 대출모집인 조회 시스템에서는 대출이 직접 실행되지는 않지만, 이를 활용해 실제 대출 거래를 중개·매개한다는 점에서 전자금융기반시설에 포함될 여지가 있다는 게 금융권의 시각이다.

이번 사고로 신한은행에서는 약 2만5000명의 정보가 유출돼 피해가 확인된 시중은행 가운데 유출 규모도 가장 크다. 금융회사는 1만명 이상의 신용정보주체에 관한 개인신용정보가 유출된 경우 금융당국에 이를 신고해야 하는데, 신한은행은 이 기준을 넘어섰다.

신한은행의 대출모집인 조회 시스템이 전자금융기반시설로 인정될 경우 해당 시설에 요구되는 보안·관리 의무를 제대로 이행했는지가 주요 쟁점으로 부상한다. 전금법은 금융회사 등에 전자금융기반시설에 대한 취약점 분석·평가와 필요한 보완조치를 의무화하고 있다.

금융당국은 전자금융기반시설이 아니더라도 금융회사의 보안·관리 책임을 엄격히 따지겠다는 방침이다. 다만 기반시설로 인정되면 취약점 분석·평가와 보완조치 등 별도의 법정 의무 이행 여부까지 검사·제재 대상에 포함된다. 관리상 미흡이나 의무 위반이 확인되면 적용 가능한 제재 근거도 늘어날 수 있다.

금융권 관계자는 "전자금융기반시설은 중요한 시설인 만큼 법에서도 추가적인 관리 의무를 두고 있다"며 "침해 사고가 발생하면 그 의무를 제대로 이행했는지 더 들여다볼 수밖에 없다"고 말했다.

금융당국의 판단은 수사기관의 사건 처리에도 영향을 미칠 전망이다. 경찰은 금융위에 침해 시스템이 전자금융기반시설에 해당하는지 유권해석을 의뢰했다. 해당 여부에 따라 전금법 적용과 중수청 통보, 향후 사건 이첩 여부가 달라질 수 있다.

향후 수사가 금융회사로 본격 확대될지도 관심사다. 현재 경찰 수사의 대상은 해커지만, 전자금융기반시설로 인정될 경우 금융회사의 관리와 관련한 별도 법 위반 혐의 확인을 위해 금융사에 대한 직접 수사로 범위가 넓어질 가능성도 배제하기 어렵다. 앞서 경찰은 대규모 개인정보 유출 사건과 관련해 지난해 12월 쿠팡을 압수수색한 바 있다.

결국 금융당국의 이번 판단은 신한은행의 책임과 제재 범위를 가르는 동시에 금융권의 보안관리 기준에도 영향을 미칠 전망이다. 대출모집 등 금융거래를 중개·매개하는 시스템을 어디까지 전자금융기반시설로 볼 것인지에 대한 기준이 될 수 있어서다.

신한은행으로서는 현재 진행 중인 차기 은행장 선임 과정에서도 이번 해킹 사고에 대한 금융당국의 판단이 변수가 될 가능성이 있다. 이찬진 금융감독원장이 지주뿐 아니라 자회사 사외이사의 경영진 견제 역할을 강조하고 있는 가운데, 향후 검사·수사 과정에서 드러나는 책임 소재가 이사회의 판단에도 고려될 수 있다는 관측이다.

권해영 기자 roguehy@asiae.co.kr