국민·신한·하나은행 피해 보상 방침 밝혀…입증 책임·보상 범위 쟁점
보안예산 집행률·경영진 성과급 도마…금감원, CEO 내부통제 책임 검토
[소셜밸류=변호인 기자] 금융권 연쇄 해킹 사태와 관련해 국정감사에 출석한 5대 시중은행장들이 보안체계 강화와 재발 방지 대책을 약속했다. 개인정보 유출이 확인된 국민·신한·하나은행에는 피해 보상 범위와 경영진의 관리 책임에 대한 질의가 집중됐다. 개인정보 유출 피해에 대한 보상 범위와 보안투자 실태를 둘러싼 질의가 이어진 가운데 금융감독원이 최고경영자(CEO)의 내부통제 관리책임까지 들여다보겠다고 밝히면서 사고 책임을 둘러싼 논의가 경영진으로 확대됐다.
 |
| ▲ 이환주 KB국민은행장(왼쪽부터), 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장이 19일 국회 정무위원회의 금융감독원 국정감사에서 증인 선서를 마친 뒤 착석하고 있다./사진=연합뉴스 제공 |
20일 국회와 금융권에 따르면 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장은 전날 국회 정무위원회의 금융감독원 국정감사에 증인으로 출석했다.
5대 은행장이 함께 국감 증인석에 선 것은 2022년 이후 4년 만이다. 이번에는 해킹 공격에 대한 사전 대응과 고객 피해 구제, 경영진의 보안관리 책임이 집중적으로 다뤄졌다.
최근 발생한 해킹 공격으로 개인정보 유출이 확인된 은행은 국민·신한·하나은행이다. 우리은행과 농협은행도 유사한 공격을 받았지만 해당 공격에 따른 고객정보 유출은 확인되지 않았으며, 국감에서는 은행별 보안체계의 차이와 사고 대응 과정에 대한 질의가 이어졌다.
◇ 정보유출 고객 22%만 직접 조회…피해 입증 책임 논란
 |
| ▲ 19일 국회 정무위원회의 금융감독원 국정감사에서 김재섭 국민의힘 의원이 공개한 신한·KB국민·하나은행의 해킹 인지 소요 시간과 개인정보 유출 규모 자료./사진=국회방송 화면 캡처 |
김재섭 국민의힘 의원이 국감에서 공개한 자료에 따르면 신한은행의 개인정보 유출 고객 약 2만5700명 가운데 자신의 정보유출 여부를 직접 조회한 고객은 5682명으로 전체의 약 22%에 그쳤다. 유출 정보에는 고객 이름과 연락처뿐 아니라 연소득과 대출한도 등 금융사기에 악용될 우려가 있는 내용도 포함된 것으로 나타났다.
김 의원은 상당수 고객이 정보유출 여부를 직접 확인하지 않은 상황에서 실제 금전적 피해가 발생한 경우에만 보상하는 방식에 문제를 제기했다. 특히 국민은행이 피해 보상 안내에 사용한 ‘입증된 피해’라는 표현을 지적하며, 금융사기 등 2차 피해가 발생했을 때 고객이 개인정보 유출과 피해 사이의 연관성을 직접 입증해야 하는지 따져 물었다.
은행장들은 피해 보상 의사를 밝혔지만 구체적인 답변에는 차이가 있었다. 정상혁 신한은행장은 개인정보가 유출된 약 2만5000명의 고객과 관련해 과실 여부와 관계없이 피해를 전액 보상하는 방안을 계획하고 있다고 설명했다. 이환주 국민은행장은 피해 발생 시 전액 보상한다는 방침을 안내했다고 밝히면서 추가적인 보상 범위와 수준을 적극 검토하겠다고 답했다.
이호성 하나은행장은 피해 고객을 대상으로 수수료 면제 조치를 시행하고 있으며, 향후 발생할 수 있는 피해에 대비해 금융안심보험 가입도 추진하고 있다고 설명했다. 아울러 실제 피해가 발생하면 전액 배상하겠다는 입장을 밝혔다.
한창민 사회민주당 의원은 2차 피해 발생 이후의 배상만으로는 은행의 개인정보 관리 책임을 충분히 물을 수 없다고 지적했다. 개인정보가 유출된 사실 자체에 대한 보상과 추가적인 금융사기 피해에 대한 배상을 어떻게 구분할 것인지, 금융사고 피해의 입증 부담을 누가 져야 하는지가 주요 쟁점으로 떠올랐다.
◇ 국민은행 보안예산 집행률 58%…사전 위험관리 실효성 추궁
 |
| ▲ 김재섭 국민의힘 의원이 19일 국회 정무위원회의 금융감독원 국정감사에서 금융권 해킹 사고와 관련해 질의하고 있다./사진=국회방송 화면 캡처 |
고객정보 보호를 위한 예산과 인력이 충분히 확보됐는지에 대한 질의도 이어졌다. 김재섭 의원이 제시한 자료에 따르면 지난해 정보보호 예산 집행률은 국민은행이 58%, 농협은행이 53% 수준에 그쳤으며, 하나은행은 편성된 예산을 전액 집행한 것으로 나타났다.
특히 국민은행은 지난해 정보보호 예산 676억원 가운데 283억원을 집행하지 않은 것으로 지적됐다. 국감에서는 미집행 예산에 인증체계와 접근통제 개선 관련 사업이 포함됐다는 문제제기도 나왔으며, 편성된 예산이 실제 보안 역량 강화로 이어지고 있는지에 대한 점검이 필요하다는 지적이 제기됐다.
신한은행은 해외 법인에서 발생한 개인정보 보호 관련 제재 이력이 도마에 올랐다. 전현희 더불어민주당 의원은 신한은행이 중국과 멕시코 현지 법인에서 개인정보 보호 문제로 제재를 받은 전력이 있다며 해외에서 확인된 위험 요인을 국내 보안체계에도 반영했어야 한다고 지적했다.
정상혁 행장은 사고 이전 해외 법인의 제재 사실을 일부 보고받았다고 인정하면서 현지 법인에서 후속 조치가 이뤄진 것으로 알고 있다고 답했다. 신한은행의 보안투자가 충분했는지에 대해서도 의원들의 질타가 이어지자 정 행장은 부족한 부분이 있었다며 국민이 납득할 만한 수준으로 정보보호 투자를 확대하겠다고 밝혔다.
국민은행과 하나은행 역시 인공지능(AI)을 활용한 보안체계 구축과 관련 인력·예산 확충을 약속했다. 한편 정진완 우리은행장은 등록된 업무기기를 통한 접속과 추가 인증 절차를 운영하고 있다고 설명했으며, 금융당국은 우리은행과 농협은행의 보안조치가 이번 공격에서 실제로 어떤 방어 효과를 냈는지 점검하기로 했다.
◇ 금감원, 해킹 사고 CEO 책임 첫 검토…성과급·연임 문제로 번져
 |
| ▲ 이찬진 금융감독원장(왼쪽)이 19일 국회 정무위원회의 금융감독원 국정감사에서 김용만 더불어민주당 의원의 질의에 답변하고 있다./사진=국회방송 화면 캡처 |
해킹 사고에 대한 책임론은 보안담당 부서의 대응을 넘어 은행장 등 경영진의 내부통제 관리의무로 확대됐다. 이찬진 금융감독원장은 국감에서 사이버보안 사고와 관련해 CEO의 내부통제 관리책임을 다루는 첫 사례가 될 수 있다는 입장을 밝히고, 은행장들이 보안 위험 관리와 인력·예산 지원 등 총괄 관리의무를 적절히 수행했는지 점검하겠다고 설명했다.
신한은행에서는 경영진의 성과급과 직접적인 손해배상 책임까지 거론됐다. 김현정 더불어민주당 의원은 정상혁 행장이 아직 지급받지 않은 성과연동주식 5만4761주의 가치가 지난 6월 말 기준 약 53억원에 이른다는 점을 제시하며, 금융사고가 반복되는 상황에서도 경영진의 보수에 내부통제 실패가 제대로 반영되지 않고 있다고 지적했다.
김 의원은 신한은행 내부 규정상 경영진이 주의의무를 소홀히 해 은행에 손해를 끼친 경우 배상책임을 물을 수 있다는 점도 제기했다. 정상혁 행장은 금융당국의 검사 결과에 따라 경영진 배상책임을 이사회에서 충분히 검토할 수 있는 사안이라고 답했다.
올해 말 임기 만료를 앞둔 은행장들의 연임 문제도 내부통제 책임과 맞물렸다. 이강일 더불어민주당 의원이 은행장 연임의 주요 기준을 묻자 정상혁 행장은 영업 실적에, 이호성 하나은행장과 정진완 우리은행장은 내부 관리에 각각 손을 들었다.
한창민 의원은 정상혁 행장에게 개인정보 보호 실패에 대한 책임과 연임 의사를 함께 물었으며, 정 행장은 현재 연임 여부를 생각하기보다 피해 고객 구제와 재발 방지 대책 마련에 전념하고 있다고 답했다.
금융감독원이 이번 사고를 계기로 CEO의 내부통제 관리책임을 직접 점검하겠다는 방침을 밝힘에 따라 향후 검사에서는 해킹 공격에 대한 기술적 대응뿐 아니라 경영진의 사전 위험관리와 보안투자 의사결정도 주요 검토 대상이 될 전망이다.
[ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
