[글로벌에픽 성기환 CP] 국내 5대 시중은행장이 잇단 해킹·개인정보 유출 사태의 책임을 가리는 국정감사 증인석에 4년 만에 나란히 선다. 고객정보가 빠져나간 은행뿐 아니라 해킹 시도를 막아낸 은행의 수장까지 예외 없이 소환 명단에 포함됐다.

12일 정치권과 금융권에 따르면 국회 정무위원회는 지난 8일 전체회의에서 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장을 오는 19일 금융감독원 국정감사 증인으로 추가 채택했다. 5대 은행장이 한꺼번에 국감 증인으로 불려 나오는 것은 횡령·이상 외화송금 사태가 불거졌던 2022년 이후 처음이다.
당초 1차 증인 명단에서 빠졌던 5대 은행장은 지난달 말부터 은행권 해킹 피해가 잇따라 드러나면서 처지가 달라졌다. 정무위 여당 간사인 박상혁 더불어민주당 의원이 지난 2일 출석 방침을 밝혔고, 국민의힘도 지난 6일 증인 신청에 가세하면서 여야가 뜻을 모았다.

이처럼 국회가 피해 여부를 가리지 않고 은행장 전원을 부른 데는 개별 사고 수습을 넘어 은행권 보안 체계 전반을 들여다보겠다는 의도가 깔린 것으로 풀이된다.

같은 공격에 엇갈린 결과…'보안 기본기'가 피해 갈라
이번 국감의 첫 번째 쟁점으로는 같은 공격에도 은행별 결과가 엇갈렸다는 점이 꼽힌다. 5대 은행 모두 외부 해킹 공격을 받았지만, 실제 정보 유출로 이어진 곳은 세 곳으로 집계됐다.

공격 경로는 은행마다 큰 차이가 없었다. 해커들은 모바일뱅킹 같은 핵심 거래 시스템 대신 대출모집인이나 직원이 외부에서 접속하는 업무용 시스템을 집중적으로 노린 것으로 파악됐다.

이러한 경로에서 방어에 실패한 곳은 KB국민·신한·하나은행이다. KB국민은행에서는 직원용 업무지원 시스템을 통해 고객·임직원 119명, 신한은행에서는 대출모집인 전용 모바일 사이트를 통해 고객 약 2만5천명의 정보가 빠져나갔다. 하나은행에서도 영업지원시스템에 외부 접근이 이뤄지면서 고객 89명의 정보가 유출됐다.
반면 우리은행과 NH농협은행은 같은 유형의 공격을 받고도 현재까지 유출 피해가 확인되지 않았다. 두 은행은 외부에서 업무 시스템에 접근하는 통로 자체를 좁혀 둔 것으로 알려졌다. 우리은행은 지정 태블릿에서만 업무를 처리하도록 제한하고 인증서와 생체 인증을 함께 요구해 왔다. 농협은행 측은 대출모집인에게 내부망 접속 권한이나 별도 업무시스템을 부여하지 않았다고 설명했다.

금융당국도 피해를 가른 요인으로 신종 공격 기법보다 보안 기본기에 무게를 두고 있다. 당국은 유출 은행들의 취약점으로 본인 확인 절차 누락, 직원용 모바일 단말기 접근 통제 미비, 이미 알려진 웹 취약점 방치 등을 지목했다. 금융보안원 역시 다중 인증 구축과 기존 취약점 조치 여부가 결과를 좌우했다고 진단했다.

사고 인지 속도도 추궁 대상으로 거론된다. 공격자의 첫 접근 이후 침해 사실을 파악하기까지 KB국민은행은 약 68시간, 신한은행은 약 15시간, 하나은행은 약 42시간이 걸린 것으로 전해졌다.
이에 따라 정무위는 외부 접속 경로 관리와 다층 방어 체계의 작동 여부, 사고 인지 이후 대응 속도 등 은행별 보안 수준의 격차를 집중적으로 캐물을 것으로 보인다. 피해 고객 보호 조치가 제대로 이뤄졌는지도 함께 점검 대상에 오를 전망이다.

보안도 내부통제 책무…은행장 감독 책임 따져 묻는다

이번 국감에서는 은행장 개인의 내부통제 책임을 묻는 '최고경영자(CEO) 책임론'도 핵심 쟁점으로 부상할 것으로 예상된다. 책무구조도가 은행권에 적용된 이후 5대 은행장이 한꺼번에 국감 증인석에 서는 것은 이번이 처음이다.

책무구조도는 대표이사를 비롯한 임원별로 내부통제·위험관리 책임을 나눠 문서로 명시하는 제도다. 2024년 7월 시행된 개정 금융회사 지배구조법에 근거해 도입됐으며, 금융지주와 은행에는 지난해 1월부터 적용되고 있다. 임원이 맡은 책무의 내부통제 관리의무를 소홀히 하면 제재 대상이 될 수 있고, 특히 대표이사에게는 내부통제 전반을 아우르는 총괄 관리의무가 지워진다.

실제로 은행장 책임론은 이미 국감장에서 제기됐다. 김현정 더불어민주당 의원은 지난 8일 금융위원회 국감에서 정보보안 역시 지배구조법상 내부통제 책무에 해당하는 만큼 정상혁 신한은행장의 책임 여부를 따져야 한다고 주장했다. 김 의원은 신한은행이 지난해 정보보호 예산을 편성액의 70%에도 못 미치게 집행했다고 지적했다. 이어 내부통제 실패가 확인되면 은행장 성과보수를 다시 산정해야 한다고 촉구했다.

이에 대해 이억원 금융위원장은 AI 해킹 문제와 별개로 기본적으로 지켜야 할 부분이 지켜지지 않은 경우도 많다는 취지로 답변했다. 아울러 보안 분야에도 확실한 내부통제가
필요하다고 강조하며, 성과보수 환수 방안을 지배구조법 개정 논의에 반영하겠다는 뜻을 내비쳤다.

은행별 보안 투자 규모도 의원들의 질의 대상에 오를 것으로 관측된다. 김재섭 국민의힘 의원이 금감원에서 제출받은 자료를 보면 올해 정보보호 예산 편성액은 KB국민은행 860억7천500만원, NH농협은행 801억3천400만원, 하나은행 636억3천500만원, 우리은행 615억6천600만원, 신한은행 405억9천100만원 순이다.

다만 예산 규모와 사고 결과가 반드시 맞아떨어지지는 않았다. 예산이 가장 많은 KB국민은행에서는 유출이 발생한 반면, 하나은행보다 예산이 적은 우리은행은 공격을 막아냈다. 이 때문에 금액 자체보다 투자가 실제 취약 지점에 닿았는지, 이를 점검하는 체계를 CEO가 제대로 감독했는지가 관건이라는 평가가 나온다.


국감 앞둔 5대 은행 비상 체제…연말 연임 심사에도 변수

국감을 앞두고 5대 은행은 일제히 비상 대응 체제에 돌입했다. 사고 발생 여부와 관계없이 수장이 모두 소환된 만큼 은행 내부의 긴장감도 상당한 것으로 알려졌다.

이에 각 은행은 보안 전담 부서와 법무·공보 조직을 중심으로 자체 보안 실태점검을 강화하고 있다. 재발 방지를 위한 구체적인 투자 계획과 내부통제 개선안을 다듬으며 의원들의 질의에 대비하는 것으로 전해졌다.

유출 사고가 난 은행들은 피해 고객 안내와 보상 계획을 알리며 수습에 나섰다. 정상혁 신한은행장은 사과와 함께 피해 복구와 재발 방지에 역량을 집중하겠다고 밝혔다. KB국민은행은 유출로 피해가 생기면 전액 보상한다는 방침을 내놨다.

국감 이후에도 은행권의 부담은 이어질 것으로 보인다. 금감원은 지난달 30일 시작한 신한은행 현장조사를 지난 6일 검사로 전환해 오는 20일까지 진행한다. 경찰은 지난 6일 정식 수사에 착수했고, 지난 9일에는 디지털 포렌식·국제공조 인력을 보강해 수사팀을 28명에서 43명으로 늘렸다. 검사와 수사 과정에서 사고 경위가 추가로 드러나면 은행장 책임 논란도 한층 커질 수 있다는 분석이다.

여기에 이번 국감이 5대 은행장의 연임 심사를 앞두고 열린다는 점도 눈길을 끈다. 이환주·정상혁·이호성·정진완·강태영 행장은 모두 올해 12월 말 임기 만료를 맞는다.

당초 은행권 안팎에서는 올해 상반기 사상 최대 실적을 근거로 연임에 무게를 두는 시각이 많았다. 하지만 보안 사고가 새 변수로 떠오르면서 각 금융지주 자회사대표이사후보추천위원회(자추위)의 고심도 깊어질 것이라는 관측이 나온다. 국감에서의 답변 태도와 재발 방지 대책의 실효성이 연임 심사의 주요 잣대가 될 수 있다는 지적이다.

금융권에서는 이번 국감이 개별 은행장의 거취를 넘어 향후 은행권 보안 투자와 내부통제 강화 논의의 방향을 가를 것으로 내다보고 있다.



[글로벌에픽 성기환 CP / keehwan.sung@daum.net]