금융당국, AI 해킹에 CEO 제재 가능할까…과거 사례 보니

(서울=연합인포맥스) 이수용 허동규 기자 = 인공지능(AI)을 활용한 금융사 해킹 사고가 대거 발생한 가운데 금융당국의 제재 수위에도 관심이 쏠린다. 정보 유출시 일벌백계로 경종을 울리겠다고 했지만, 실질 제재는 엄벌 수준에 못미쳤던 만큼 본보기로 최고경영자(CEO)가 책임지는 사례가 나올지 주목된다.

8일 금융권에 따르면 금융사 해킹으로 인한 정보 유출 사고에 영업정지 제재를 받은 곳은 롯데카드다.

롯데카드는 지난해 해킹 사고가 발생하면서 지난 7월 1.5개월의 영업정지와 과징금 50억원의 제재를 받았다.

하지만 당초 금융감독원의 제재심의위원회에선 4.5개월의 영업정지를 결정했지만, 금융위원회 의결 과정에서 영업정지 기간이 1.5개월로 대폭 축소됐다.

금융당국은 롯데카드 사이버 침해 사고를 계기로 금융회사의 정보 유출에 '일벌백계'를 강조하고 있지만 최종 제재 수위는 경감된 셈이다.

올해 1월엔 모아저축은행에 대해 기관주의 조치와 12억4천300만원의 과징금, 1억6천400만원의 과태료가 부과됐다.

모아저축은행은 지난 2023년 9월 해킹 공격으로 인해 737명의 개인정보와 6천409명의 개인신용정보가 유출됐다.

해킹으로 인한 정보 유출 사고가 발생해도 제재 실효성은 아직 미미하다는 지적이다.

신용정보법은 전체 매출액의 3% 이하로 과징금을 부과하게 하나 해킹으로 인한 사고엔 50억원 이하의 과징금을 부과하고 있다.

또한 검사에 적극적으로 협조하거나 방지를 위한 시스템 구축, 사후 수습 노력 등이 인정되는 경우는 과징금이 감경된다.

위반 정도에 따라 과징금 산정 기준도 달라지는데, 금융위는 최근 매우 중대한 위반행위, 중대한 위반행위, 중대성이 약한 위반행위 등으로 부과 기준율을 나누기도 했다.

개인정보보호법에 따른 제재도 주목할 필요가 있다.

개인정보와 신용정보가 유출될 경우 신용정보법이 우선되지만, 개인정보 처리 위반 사례가 있다면 매출액 3% 이하로 과징금을 부과받을 수 있다.

롯데카드의 경우도 금융위 과징금 50억원 외에도 개인정보를 암호화하지 않아 개인정보보호위원회로부터 96억2천만원의 과징금을 별도로 부과받았다.

제재가 실질적인 효과를 제대로 발휘하지 못하면서 해킹 사고도 반복적으로 발생하고 있다.

당장 지난해 롯데카드 해킹 사고 이후 금융당국은 보안 실태를 점검해왔고 정보보호 최고책임자(CISO)를 소집해 부주의로 인한 해킹을 엄정 제재하겠다고 강조하기도 했다.

이런 가운데 이번 AI 에이전트에 의해 해킹 공격을 받은 금융회사들은 이미 50억원이라는 상한선이 있고, 정보 유출 규모가 크지 않은 만큼 제재 수위가 상대적으로 낮아질 가능성도 있다.

정보 민감도가 다르고 그로 인한 보이스피싱 등 2차 피해가 발생하지 않았기 때문이다.

롯데카드의 경우 해커가 온라인 서버를 통해 200기가바이트(GB)의 데이터를 외부로 반출하면서 비밀번호 2자리와 카드 유효기간, CVC 번호 등 민감 정보를 포함해 300만명에 육박하는 고객 정보가 유출됐다.

어느 수준으로 개인정보가 유출됐고, 얼마나 손해를 끼쳤는지에 따라 제재 정도도 달라질 수 있는 만큼 금융당국의 경고가 심각하게 다가오지 않을 수 있는 셈이다.

특히 은행권의 경우 해킹 등으로 인한 사고에 대해선 운영리스크로 이를 자본비용에 반영하는데, 과징금이나 관련 충당금, 피해배상 금액이 없다면 단순 복구 비용이나 보안 비용 정도만 운영리스크에 반영하게 된다.

이에 금융당국은 제재의 실효성을 높이기 위해 징벌적 과징금 부과 등을 내용으로 한 전자금융거래법 개정을 추진하고 있다.

금융당국 관계자는 "해킹 사고 조사가 진행 중이고 과정에서 위규 사항이 발견될 시 그에 따라 엄정하게 조금의 예외 없이 조치를 취할 것"이라고 말했다.

sylee3@yna.co.kr

dghur@yna.co.kr