금감원장, 경영진 책임 엄중 규명 지시…징벌적 과징금도 도입
[더팩트ㅣ박지웅 기자] 증권업계에서 해킹 사고가 잇따르면서 CEO를 비롯한 경영진의 책임론이 확산하고 있다. 대신증권에서 3만8000명이 넘는 고객정보가 유출된 데 이어 한양증권에서도 주민등록번호와 운전면허번호 등 개인정보가 외부로 빠져나간 사실이 확인되면서다. 금융당국이 기본적인 보안 통제 미흡으로 발생한 사고에 대해 경영진의 책임까지 엄중히 따져 묻겠다는 방침을 밝히면서 증권사 수장들에 대한 제재 가능성에도 관심이 쏠린다.
4일 금융투자업계에 따르면 이찬진 금융감독원장은 전날 임원회의에서 최근 금융권 해킹 사고와 관련해 기본적인 보안 통제 미흡으로 사고가 발생한 금융회사에 대해 CEO 등 경영진의 책임을 엄중하게 따져 물을 것을 지시했다.
이 원장은 인공지능(AI)을 악용한 사이버 공격이 금융권 전반에서 동시다발적으로 발생하고 있다는 점을 지적하며 금융회사들이 선제적인 대응 체계를 갖춰야 한다고 강조했다. 특히 CEO와 이사회가 내년도 보안 예산과 인력 확충에 적극적으로 나설 것을 주문했다.
금융당국이 경영진 책임을 직접 거론한 것은 최근 금융권에서 개인정보 유출 사고가 잇따르면서 기존 보안 관리체계의 실효성에 대한 의문이 커지고 있기 때문이다.
◆ 대신증권 이어 한양증권도 뚫렸다…주민번호까지 유출
한양증권은 지난달 29일 외부의 비정상적인 접근으로 일부 고객과 임직원 정보가 유출된 사실을 확인했다. 현재까지 파악된 유출 정보는 고객정보 15건, 임직원 관련 정보 2건, 일반 개인정보 14건 등이다.
유출 항목에는 이름과 계좌번호, 연락처, 주소, 생년월일, 이메일뿐 아니라 주민등록번호와 운전면허번호까지 포함됐다. 주민등록번호가 포함된 정보도 3건 확인됐다.
유출 규모는 대신증권보다 작지만 개인 식별에 활용될 수 있는 중요 정보가 포함됐다는 점에서 보안 관리 부실 논란이 불가피할 전망이다. 특히 주민등록번호와 운전면허번호는 다른 개인정보와 결합될 경우 명의도용이나 금융사기 등 2차 피해에 악용될 가능성이 있어 각별한 관리가 요구되는 정보다.
더욱이 금융권에서 연쇄적인 해킹 사고가 발생하며 보안 경계가 강화된 상황에서 한양증권마저 공격을 막아내지 못했다는 점도 논란을 키우고 있다. 금융당국이 사전에 보안 취약점 점검과 외부 접근 통제 강화를 요구해 온 만큼 한양증권의 예방 조치가 적절했는지에 대한 점검이 필요하다는 지적이다.
한양증권은 사고를 인지한 직후 외부 접근을 차단하고 솔루션 공급사와 함께 긴급 보안 패치를 완료했다고 설명했다. 현재 정확한 유출 범위와 경위를 조사하고 있으며 관계 기관 신고와 피해 고객 안내도 진행하고 있다.
다만 사후 조치와 별개로 사고 발생 이전 보안 취약점에 대한 점검과 관리가 충분했는지는 확인이 필요한 상황이다. 특히 중요 개인정보에 대한 접근 권한 관리와 외부 시스템 보안 통제가 적절하게 이뤄졌는지 등이 향후 조사 과정에서 주요 쟁점이 될 것으로 보인다.
앞서 대신증권에서도 대규모 개인정보 유출 사고가 발생했다. 대신증권은 지난달 17일 투자일임 비대면 증권계좌개설 연계 서버에서 비정상적인 외부 접근 징후를 포착했다.
이후 열흘간 정상 서비스로 위장한 6만여건의 접속 신호를 조사한 결과 고객 3만8490명의 개인정보가 유출된 사실을 확인했다. 유출된 정보에는 고객명과 이메일, 주소, 통신ID, 은행명, 입출금 계좌번호, 대신증권 종합계좌번호, 휴대전화번호 등 8개 항목이 포함됐다.
대신증권은 사고 인지 직후 공격에 사용된 IP와 우회접속 IP를 차단하고 금융보안원과 함께 정밀조사를 진행했다. 현재까지 고객의 2차 피해나 핵심 업무시스템에 대한 불법 접근은 확인되지 않았다는 입장이다.
그러나 외부 연계 서버를 통해 대규모 개인정보가 유출된 만큼 보안 통제체계가 적절하게 작동했는지에 대한 조사는 불가피할 전망이다.
◆ AI 경쟁 속 보안은 뒷전?…CEO 책임론 확산
잇따른 사고로 증권사들의 디지털 전환 속도에 비해 보안 관리 수준이 뒤처지는 것 아니냐는 우려도 나온다. 증권사들이 AI 기반 투자 서비스와 비대면 금융 플랫폼 확대에 속도를 내고 있지만 고객정보 보호를 위한 보안 체계에는 취약점이 드러나고 있기 때문이다.
특히 금융회사의 보안 관리가 IT 부서 차원의 실무 문제를 넘어 경영진의 핵심 책임으로 부상하고 있다는 점에서 업계의 긴장감도 높아지고 있다. 보안 예산과 인력 배치, 외부 연계 시스템 관리 등은 경영진의 의사결정과 직결되는 만큼 사고 발생 시 관리·감독 책임을 피하기 어려워질 수 있다는 관측이다.
금감원은 그동안 통합관제시스템(FIRST) 등을 통해 금융권에 보안 취약점 점검과 AI 에이전트 기반 사이버 공격에 대한 대응을 안내해 왔다. 최근 침해 사고가 본격화한 이후에는 긴급 체크리스트를 통한 자체 점검과 불필요한 외부 접근 차단도 요구했다.
이와 함께 보안 취약점을 방치해 사고가 발생한 금융회사에 매출액의 최대 3%를 징벌적 과징금으로 부과할 수 있도록 하는 전자금융거래법 개정안의 신속한 국회 통과에도 힘을 싣고 있다.
금융당국이 보안 사고에 대한 경영진 책임을 강조하면서 향후 조사 결과에 따라 증권사 CEO에 대한 제재 논의가 본격화할 가능성도 제기된다. 다만 실제 제재 여부는 관련 법령 위반 여부와 경영진의 관리·감독 의무 이행 수준 등을 종합적으로 검토해 판단할 사안이다.
특히 한양증권의 경우 주민등록번호와 운전면허번호 등 중요 개인정보가 유출된 경위와 사전 보안 조치의 적정성이 핵심 쟁점이 될 전망이다. 사고 규모와 별개로 기본적인 보안 통제 의무를 소홀히 한 사실이 확인될 경우 경영진 책임론은 더욱 거세질 것으로 보인다.
한양증권 관계자는 "이번 사안을 엄중하게 인식하고 있으며, 고객 여러분께 심려를 끼쳐 드린 점 진심으로 사과드린다"며 "향후 보안 관리체계를 더욱 철저히 점검하고 재발 방지에 만전을 기하겠다"고 밝혔다.
- 발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.
- · 카카오톡: '더팩트제보' 검색
- · 이메일: jebo@tf.co.kr
- · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write
- · 네이버 메인 더팩트 구독하고 [특종보자→]
- · 그곳이 알고싶냐? [영상보기→]
