은행은 해킹당하고, 피해 책임은 고객이 지는가[기고]

[황석진 동국대 국제정보보호대학원 교수] 최근 금융권에서 잇따라 발생한 해킹과 개인정보 유출 사고는 금융회사의 보안 책임에 근본적인 질문을 던지고 있다. 특히 은행의 인증체계와 외부 연계 시스템의 취약점을 이용한 공격으로 고객정보가 유출되는 상황에서, 보이스피싱 피해를 금융소비자 개인의 부주의로만 돌리는 기존 책임 구조가 타당한지 되짚어볼 필요가 있다.

은행권은 2024년부터 비대면 금융사고에 대한 자율배상제도를 시행하고 있다. 금융회사의 사고 예방 노력과 소비자의 과실 정도를 고려해 피해액의 전부 또는 일부를 배상하는 방식이다. 금융사고의 책임을 소비자에게만 부담시키던 관행에서 벗어났다는 점에서는 의미가 있다. 그러나 배상 대상이 제한적이고 피해구제 실적도 저조하다는 비판이 이어지고 있다. 특히 피해자가 범죄자에게 속아 직접 송금한 보이스피싱은 원칙적으로 배상 대상에서 제외돼 제도의 실효성에 의문이 제기된다.

이번 금융권 해킹 사태는 이러한 한계를 더욱 분명하게 보여준다. 과거 보이스피싱은 무작위 전화나 문자메시지를 통해 금융정보를 탈취하는 방식이 중심이었다. 그러나 최근에는 금융회사와 외부 연계 시스템의 취약점을 이용해 확보한 개인정보가 정교한 금융사기에 악용될 위험이 커지고 있다. 특히 유출된 개인정보가 대출정보나 금융거래정보와 결합되면 범죄자는 금융기관 직원 등을 사칭해 피해자의 신뢰를 얻기 쉬워진다.

(사진=챗GPT)

문제는 피해자가 직접 송금했다는 이유만으로 금융회사의 책임을 배제할 수 있느냐는 것이다. 금융회사의 보안관리 부실로 고객정보가 유출되고 보이스피싱에 악용됐다면 송금행위만으로 책임을 판단하는 것은 합리적이지 않다. 물론 정보유출과 피해 발생 사이의 인과관계, 금융회사의 과실 여부 등을 확인해야 하지만, 정보보호 책임과 보이스피싱 피해구제를 별개로 취급하는 접근은 재검토할 필요가 있다.

최근 금융당국의 점검에서 다수 금융회사의 보안관리 미흡 사항이 확인됐다는 점도 주목해야 한다. 금융회사는 보안 인증과 내부통제 기준을 준수했다고 강조하지만, 보안체계를 갖췄다는 것과 실제 공격을 방어할 수 있다는 것은 다르다. 이상거래탐지시스템(FDS)을 운영하더라도 비정상적인 거래를 식별하지 못하거나 위험 징후에 대응하지 못했다면 실질적인 예방조치가 이뤄졌다고 보기 어렵다. 따라서 배상책임은 형식적인 규정 준수보다 실제 사고 예방과 피해 확산 차단 능력을 중심으로 판단해야 한다.

현행 자율배상제도의 또 다른 문제는 금융회사가 배상 여부와 책임분담 비율을 심사한다는 점이다. 소비자는 금융회사의 보안시스템이 어떻게 작동했는지, 이상거래를 탐지했는지조차 확인하기 어렵다. 이러한 정보 비대칭을 해소하지 않은 채 소비자에게 과도한 입증책임을 요구하는 것은 공정하지 않다. 금융회사의 예방조치에 대한 객관적인 검증과 독립적인 배상심사 절차가 필요한 이유다.

정부가 추진하는 보이스피싱 무과실 배상책임제도도 이러한 관점에서 접근해야 한다. 금융회사의 배상책임을 확대하는 것은 소비자 보호와 예방 투자 측면에서 필요하다. 다만 모든 책임을 은행에 전가하기보다는 금융회사와 통신회사, 플랫폼 사업자 등의 예방 의무를 명확히 하고 배상 범위와 면책 기준을 합리적으로 마련해야 한다.

아울러 금융권의 보안 패러다임도 변화해야 한다. 외부 침입 차단에서 벗어나 정상적인 접근으로 위장한 공격까지 탐지할 수 있어야 한다. 제로트러스트, 다중인증(MFA), 사용자 및 개체 행위분석(UEBA), AI 기반 보안관제 등을 통해 금융거래와 개인정보 접근 경로를 지속적으로 검증해야 한다. 특히 대출모집인 시스템과 외부 협력업체 등 취약한 접점까지 보안관리 책임을 확대해야 한다.

금융회사는 고객의 자산뿐 아니라 신원과 금융거래에 관한 민감한 정보까지 관리하는 기관이다. 이러한 정보가 유출돼 금융범죄에 악용될 위험이 발생했다면 단순한 사과나 재발방지 약속만으로 책임을 다했다고 볼 수 없다.

이번 금융권 해킹 사태의 핵심 교훈은 금융소비자 보호의 책임을 소비자에게만 전가해서는 안 된다는 것이다. 은행 자율배상제도는 형식적인 책임분담을 넘어 금융회사의 실질적인 예방책임과 피해구제 의무를 강화하는 방향으로 개선돼야 한다. 금융의 신뢰는 사고 이후 얼마나 신속하게 사과하느냐가 아니라, 사고를 얼마나 효과적으로 예방하고 피해 발생 시 얼마나 책임 있게 대응하느냐에 달려 있다.

황석진 동국대 국제정보보호대학원 교수. (사진=이데일리 김태형 기자)