제2의 해킹사태를 막기 위한 금융당국의 진짜 역할[기자수첩]

불과 두 달 전이었다. 금융권의 인공지능 전환(AX) 움직임과 함께 보안 위협이 커지고 있지만 금융회사들의 대응은 여전히 안일하다는 내용의 기사를 썼다. 개인정보 배상책임보험마저 법정 최소 수준에 그치는 현실도 짚었다. 당시 제기했던 우려는 결국 현실이 됐다.

지난 10월 신한은행 정보유출 사고를 시작으로 증권사와 보험사까지 금융권 전반에서 해킹 사고가 잇따랐다. AI를 활용한 사이버 공격 가능성까지 거론되면서 금융소비자들의 불안도 커지고 있다. 내 금융정보가 언제, 어디서 유출될지 모르는 상황이다.

사실 금융권 해킹은 갑작스럽게 닥친 재난이 아니다. 이미 여러 차례 경고음이 울렸다. 지난해 롯데카드 대규모 정보유출 사태 이전에도 저축은행과 보험사 등에서 개인정보 유출과 시스템 침해 사고가 반복됐다. 보안패치 미적용, 접근통제 부실, 노후 시스템 관리 소홀 등 사고 원인도 크게 다르지 않았다. 새로운 공격 기법이 등장했지만 정작 금융회사들이 지켜야 할 기본적인 보안 수칙조차 제대로 작동하지 않은 것이다.

금융당국의 점검 결과도 이를 뒷받침한다. 올해 금융회사 555곳을 점검한 결과 130곳에서 보안패치 미적용과 보안관제 미흡 등 보안 관리상 허점이 확인됐다. 점검 대상의 약 23%에서 기본적인 보안 문제가 드러난 셈이다. 특정 회사의 일탈로 치부하기 어려운 수준이다.

문제는 금융당국의 대응이 여전히 사후약방문에 머물러 있다는 점이다. 대형 사고가 발생하면 전수점검에 나서고 재발 방지 대책을 발표한다. 그러나 사고가 터지기 전에는 왜 취약점을 발견하지 못했는지, 이전 점검에서 확인된 문제는 제대로 개선됐는지 되묻지 않을 수 없다. 점검 횟수나 대책 발표보다 중요한 것은 실제로 보안 수준이 달라졌는지 여부다.

금융권의 사후 대응 방식도 우려스럽다. 해킹 사고가 발생한 금융회사들이 대형 법무법인과 외부 전문가를 선임해 대응에 나서고 있다는 이야기가 들린다. 일각에서는 금융당국과의 관계나 영향력을 활용해 제재 수위를 낮추려는 목적이라는 말까지 나온다. 물론 법률적 대응 자체를 문제 삼을 수는 없다. 다만 사고 원인 규명과 피해자 구제보다 제재 최소화에 역량을 집중한다면 금융회사가 져야 할 책임은 뒷전으로 밀릴 수밖에 없다. 금융당국도 사고 수습 과정에서 책임 회피를 위한 대응이 이뤄지고 있는지 들여다볼 필요가 있다.

이찬진 금융감독원장은 취임 이후 줄곧 금융소비자 보호를 강조해 왔다. 금융회사들도 소비자보호위원회를 신설하고 내부 관리체계를 정비하는 등 소비자 보호를 경영의 전면에 내세우고 있다. 하지만 소비자 보호는 구호나 조직 신설만으로 완성되지 않는다. 소비자의 개인정보와 금융자산을 안전하게 지키는 것이야말로 가장 기본적인 소비자 보호다.

금융회사에 개인정보를 맡긴 소비자가 유출 가능성을 걱정하고 자신의 정보가 보이스피싱 등 금융범죄에 악용될까 불안해해야 한다면 소비자 보호 체계가 제대로 작동한다고 보기 어렵다.

금감원은 사고가 발생한 뒤 금융회사를 점검하는 '감독당국' 역할에만 머물러서는 안 된다. 반복되는 취약점을 사전에 찾아내고 개선 요구가 실제 이행됐는지 확인해야 한다. 같은 문제가 되풀이되는 회사에는 그에 상응하는 책임을 물어야 한다. 보안 투자를 비용으로 취급하는 금융회사의 인식부터 바꾸도록 감독해야 한다.

금융소비자가 원하는 것은 사고 이후의 사과문도, 뒤늦은 보상책도 아니다. 애초에 내 정보가 유출되지 않도록 지켜주는 것이다. 해킹 사고가 반복될 때마다 대책을 내놓는다면 그것은 감독이 아니라 뒷북 대응이다. 소 잃고 외양간 고치는 일을 멈추려면 금융당국부터 달라져야 한다.

이진실 기자 truth@newsway.co.kr