[아이뉴스24 도수화 기자] 개인정보 유출에 대한 기업과 경영진의 책임을 대폭 강화한 제도가 시행되자마자 금융권에서 보안 사고가 잇따르고 있다. 특히 최고경영자(CEO)의 개인정보 보호 책임을 명문화하고 중대 사고에 대한 과징금을 강화한 시점과 맞물리면서 이번 사고들이 새 제재 체계의 첫 시험대가 될지 주목된다. 다만 금융회사의 개인신용정보는 신용정보법이 우선 적용되는 만큼 실제 개인정보보호법 적용 여부와 제재 수준은 금융당국의 조사 결과에 따라 갈릴 전망이다.
KB국민은행은 고객 119명의 개인(신용)정보가 외부 침해에 의해 유출된 사실을 확인했다고 2일 밝혔다. 고객명과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다.
정보가 유출된 곳은 인터넷뱅킹이나 모바일뱅킹 등 고객 금융거래 시스템과는 무관한 직원용 모바일 업무지원시스템이다. 국민은행은 지난달 30일 밤 비정상적인 외부 접근을 통한 정보 유출 가능성을 인지한 뒤 해당 서버와 접근 경로를 차단했다.
같은날 하나은행도 개인정보 유출 사고가 발생했다. 하나은행은 외부 해킹 세력을 통해 89명의 정보(주민번호·성명·주소·이메일주소·전화번호·휴대번호·직장명)가 유출된 것으로 파악된다고 밝혔다. 외부 해킹 에이전트가 당행 영업지원시스템(ODS)을 대상으로 시도한 비정상적인 접근에서 비롯됐다는 설명이다.
부산은행도 이날 오전 4시 30분께 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일 주소 같은 개인정보가 웹페이지에 유출된 사실을 확인했다.
앞서 신한은행은 지난 1일 약 2만5000명의 고객 개인(신용)정보가 유출됐다. 외부에서 인증을 우회하는 비정상적인 방법으로 일부 서비스에 접근한 것으로 파악됐다. 유출된 정보에는 고객명과 전화번호, 연소득, 산출한도 등 대출 신청 관련 정보와 일부 고객의 주민등록번호 66건, CI(연계정보) 97건 등이 포함됐다.
대형 은행을 중심으로 잇따라 정보유출 사고가 발생하면서 금융당국도 긴급 대응에 나섰다. 금융위원회는 이날 금융감독원·금융보안원과 주요 은행·카드사 등을 소집해 긴급 상황대응 회의를 열고 금융회사에 외부에 노출된 전산시스템 전반의 보안 취약점과 접근통제 현황을 점검하도록 했다.
특히 인증 없이 내부정보에 접근할 수 있는 경로가 있는지 확인하고 공격 IP와 수법 등 위협정보를 금융권이 신속하게 공유하도록 주문했다.
이번 사고는 개정된 개인정보보호법이 지난달 11일 시행된 이후 처음 발생했다는 점에서도 주목된다.
개정법은 최고경영자(CEO)를 개인정보 보호의 최종 책임자로 명시하고 개인정보 보호에 필요한 인력과 예산 등을 지원하도록 하고 있다. 개인정보보호책임자(CPO)의 권한과 책임도 강화해 전문인력 관리와 예산 확보 등의 권한을 부여하고 개인정보 보호 현황과 주요 사항을 CEO와 이사회에 보고하도록 했다.
반복적이거나 고의·중과실로 개인정보를 유출하는 등 법에서 정한 요건에 해당할 경우 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 했다.
은행권은 개정법 시행에 맞춰 개인정보 보호 체계를 정비해왔다. 신한은행은 최근 관련 내규를 정비하고 송영신 정보보호본부 상무를 CPO로 지정했다.
다만 신한은행과 국민은행, 하나은행 등의 이번 사고에 개보법 개정안이 실제 적용될지는 아직 확정되지 않았다. 개보위에 따르면 국민은행의 이번 개인정보유출 사고는 신고가 접수됐지만 신한은행 사고는 별도로 신고되지 않았다.
국민은행은 개인정보 유출로 개보위에 신고하고, 신한은행은 개인신용정보(대출 관련 정보)인 만큼 금감원에 신고하는 체계를 따른 것이다.
개보위 관계자는 "신한은행의 경우 조사 과정에서 신용정보법 적용 대상 이외 개보법상 사안이 확인되면 개보위가 조사에 나서게 된다"라며 "신한은행 사고에 개정된 개보법이 적용될지는 금감원 조사 이후 판단할 사안"이라고 말했다.
금감원 관계자는 "금융보안원과 함께 침입 경로와 유출된 정보의 항목·건수 등을 살펴봐야 하는 만큼 예상되는 조사 소요 기간을 단정적으로 이야기하기 어렵다"고 말했다.
/도수화 기자(dosh@inews24.com)