‘금융권 해킹 사태’로 피싱 등 2차 피해 땐 책임은 누가?

광고

금융권 해킹으로 빠져나간 고객 정보가 ‘맞춤형 인공지능(AI) 피싱’ 같은 2차 피해로 이어질 수 있다는 우려가 커지면서 책임 소재를 둘러싼 문제가 주목받고 있다. 대출 한도 같은 민감한 정보를 피싱 문구에 활용하면 소비자가 속을 가능성이 높아지는데, 이런 2차 피해에 대한 책임을 해킹당한 금융회사에 물을 수 있을지가 관건이다.

5일 금융권 설명을 종합하면, 최근 해킹 사태로 개인정보가 유출된 금융회사들은 2차 피해 보상 방안을 마련하는 중이다. 약 2만5천명의 정보가 새어나간 신한은행 쪽은 “기본적으로 2차 피해까지 전액 보상한다는 방침”이라며 “유출 정보가 실제 피싱에 쓰였는지 확인하는 방식은 향후 더 논의해서 정교화해야 할 문제”라고 말했다. 약 4만명의 정보가 유출된 것으로 추정되는 예가람저축은행 관계자도 “(2차 피해에 대한) 구체적인 보상 방안은 논의 중”이라고 했다.

신한은행의 경우 고객 이름과 연락처뿐 아니라 소득과 대출 한도까지 유출됐다. 이런 정보는 당장 금전거래에 이용하긴 어렵지만, 보이스피싱(전화)이나 스미싱(문자메시지) 같은 전자금융사기에 악용될 여지가 있다. 소득과 대출 한도까지 꿰고 있는 상대가 연락해오면 사기로 의심하기 어렵다는 점을 해킹 세력이 노릴 수 있어서다.

광고

특히 인공지능과 결합하면 잠재적 피해가 커질 수 있다는 지적이 나온다. 미국 하버드대 케네디스쿨 연구진이 지난 2월 발표한 논문을 보면, 인공지능이 개인정보를 이용해 작성한 ‘맞춤형 피싱’ 메일 속 링크를 수신자가 클릭한 비율은 54%였다. 일반 피싱 메일(12%)의 4.5배에 이르렀다. 사람이 일일이 하기 어렵던 맞춤형 피싱을 인공지능이 손쉽게 대량으로 만들어내면 피해가 빠르게 불어날 가능성도 있는 셈이다.

문제는 개인정보 유출과 피싱의 연결고리를 입증하기가 쉽지 않다는 점이다. 이번 유출과 무관한 피싱과 유출로 인한 2차 피해 간의 경계를 긋기 어려울 수 있다는 얘기다. 실제로 한 시중은행 관계자는 “그동안 개인정보 유출 사고가 워낙 많지 않았느냐”며 “다른 회사에서 유출된 정보가 이용된 건 아닌지 알 방법이 마땅치 않다”고 말했다. 다른 금융회사 관계자도 “(연관이 없는 피해의 보상을 청구하는 식의) 악용 사례가 나올 수도 있다”며 “구체적인 피해 사례가 접수돼봐야 어떤 기준으로 보상할지 윤곽이 나올 것 같다”고 했다.

광고

광고

이 때문에 구체적인 보상 방안은 향후 논의 과정에서 가닥이 잡힐 전망이다. 지난해 개인정보 유출 사고가 있었던 롯데카드의 경우 2차 피해 입증책임을 회사가 지겠다고 발표한 바 있다. 금융당국 관계자는 “일단 고객에게 충분히 안내해서 2차 피해를 예방하는 데 초점을 두고, 향후 보상 방안을 구체화해나갈 계획”이라고 했다.