금융당국 “정보 유출 총 37개사에서 47만3000건…자금 탈취 10억원 발생”

지난달 서울 시내에 설치된 여러 은행 ATM기. 연합뉴스

지난 9월 이후 발생한 금융권 연쇄 해킹으로 37개 금융사에서 47만3000여건에 이르는 개인정보가 유출된 것으로 집계됐다. 일부 회사에서는 10억원가량의 자금이 빠져나갔다. 금융당국은 580여개의 금융회사 전체의 보안 관련 사항을 전수 점검하기로 했다.

또한 유출된 정보가 보이스피싱 같은 2차 피해로 이어질 것을 우려해 은행 등 금융회사가 잘못이 없어도 피해금 일부를 물어주게 하는 ‘무과실책임’ 법제화를 추진하기로 했다.

금융위원회는 5일 오전 서울 여의도 금융보안원에서 ‘인공지능(AI)시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 이 같은 내용을 밝혔다.

금융위에 따르면 금융권 침해사고가 처음 확인된 9월 30일 이후 지난 3일까지 37개사에서 40건의 침해사고가 신고됐다. 전자금융업자가 10곳으로 가장 많았고 금융투자·저축은행이 각 5곳, 은행·온라인투자연계금융업자(온투업)가 각 4곳이었다. 보험·가상자산은 각 3곳, 여신 2곳, 상호금융 1곳이었다.

유출된 정보는 총 47만3000여건으로 집계됐다. 주로 임직원 정보와 고객 이름, 주민등록번호, 계좌번호 등이다. 계좌 비밀번호처럼 부정결제로 이어질 수 있는 정보가 빠져나간 사례는 아직 확인되지 않았다.

일부 소규모 가상자산거래소와 전자금융업자, 온투업자들을 대상으로 한 자금 탈취도 10억원 가량 발생했다. 주로 가상자산 핫월렛(지갑), 결제용 포인트, 온투업 예치금처럼 회사가 고객 돈을 모아놓은 계정에서 돈이 이체됐다. 개별 이용자가 돈을 잃은 사례는 아직 없는 것으로 파악했다.

아울러 당국은 전 금융권 580여개사를 대상으로 외부에서 접근할 수 있는 통로를 전수점검하기로 했다. 최고경영자(CEO), 최고정보보호책임자(CISO), 최고정보책임자(CIO)의 역할 분담 등 보안 관련 내부통제가 제대로 돌아가는지도 함께 본다.

이와 함께 금융위는 “AI 공격은 AI로 방어한다”는 취지로 ‘망분리 규제 전면해제 태스크포스(TF)’도 꾸리기로 했다.

한편 금융당국은 이번 대규모 해킹으로 새나간 개인정보가 보이스피싱 등에 악용될 것이라는 우려가 커지면서 ‘보이스피싱 무과실책임’ 법제화도 추진하기로 했다.

지금은 피해자가 속아서 직접 돈을 보낸 경우 금융회사에 과실이 없으면 배상받기 어려운데, 이 제도 아래서는 금융회사 잘못이 없더라도 피해금 일부를 물어줘야 한다. 의심거래 탐지와 지급정지 권한을 가진 금융회사가 예방에 더 적극적으로 나서도록 하려는 취지다.

해킹 사고의 원인을 제공한 금융회사가 피해를 일부 책임져야 한다는 메시지로도 풀이된다. 이 제도는 지난해부터 당국이 추진했지만, 은행의 책임 범위를 넘어선다는 업계 반발 등으로 답보 상태였다. 금융위는 국회 정무위원회에 계류 중인 통신사기피해환급법 개정안의 연내 통과를 추진하기로 했다.

개정안은 돈을 보낸 피해자의 계좌와 이 돈을 받은 사기범 계좌의 금융회사가 보상금을 절반씩 나눠 부담하는 구조다. 보상 한도는 1000만~5000만원 범위에서 대통령령으로 정한다. 금융회사가 피해자에게 범죄 위험을 충분히 알린 경우에는 책임을 면제받는다.