해킹 피해 18배 급증했는데…KB금융, SEC 공시는 한 달째 '검토 중'

(서울=연합인포맥스) 윤슬기 기자 = KB국민은행의 해킹 사고에 따른 정보유출 인원이 당초 발표의 18배 이상으로 늘어났지만 KB금융지주는 한 달째 미국 증권거래위원회(SEC) 공시 여부를 결정하지 못하고 있다.

금융당국이 피해자 누락의 고의성까지 검사하면서 제재에 따른 재무 부담 가능성도 생겼지만, KB금융은 금전적 영향 등을 예상하기 어렵다는 입장만 되풀이하고 있다.

3일 금융권에 따르면 KB금융은 국민은행의 정보유출 사고와 관련해 아직 SEC에 공시하지 않았다. 지난달 초 사고가 알려지고 지난달 26일 추가 피해를 발표했음에도 여전히 검토 중이다.

KB금융은 미국 증시에 주식예탁증서(ADR)를 상장한 기업으로, 현지 투자자에게도 중요 정보를 제공할 의무가 있다.

이를 위한 수시보고서인 Form 6-K는 외국민간발행인이 국내에 공개하거나 거래소·주주에게 제공한 정보 가운데 회사와 자회사에 관한 중요 사항을 SEC에 알리는 제도다. 중대한 사이버보안 사고도 공시 대상에 포함된다.

국민은행이 사고 사실과 재검증으로 확인된 추가 피해 규모를 국내에 이미 공개한 만큼 KB금융에 남은 판단은 해당 정보가 미국 투자자에게도 알려야 할 중요 사항에 해당하는지 여부다.

이때 SEC는 사고의 중대성을 가르는 일률적인 피해 인원 기준을 두지 않는다. 합리적인 투자자가 해당 정보를 중요하게 여길 가능성과 투자자에게 제공된 전체 정보에 미칠 영향을 살피며 Form 6-K 제출 시점은 '신속히'로 규정하고 있다.

법조계에선 이런 중대성 판단에 실제·예상 영향뿐 아니라 평판과 고객 관계, 소송 가능성, 규제 조사나 조치 등 질적 요소까지 고려해야 한다는 해석이 나온다.

최종 손실액을 산정하는 것과 사고 정보의 중요성을 평가하는 것은 구분되며 금전적 영향이 불확실하더라도 사고의 성격과 예상되는 영향을 토대로 공시 필요성을 판단해야 한다는 의미다.

같은 시기 고객정보 유출 사고가 발생한 신한금융은 재무 영향을 산정하기 어려운 상황에서도 SEC에 사고 사실과 조사 진행 상황을 알렸다.

신한금융은 지난달 1일 제출한 Form 6-K에서 외부인이 신한은행 일부 서비스에 접근해 고객정보를 확보한 사실을 확인했으며 관계 당국 및 외부 보안전문가와 사고 원인과 피해 범위 등을 조사하고 있다고 밝혔다. 재무상태와 경영성과에 미치는 영향은 당시 산정하기 어렵다고 설명했다.

신한금융은 국내 법정 공개 시점에 맞춰 보고서를 제출한 것으로 설명된다.

두 회사의 피해 규모와 국내 공개 의무가 달라 공시 여부만으로 KB금융의 규정 위반을 판단할 수는 없지만, 재무 영향이 확정되기 전에도 확인된 사고와 조사 상황을 투자자에게 제공했다는 점에서는 차이가 있다.

KB금융 역시 손실 규모의 불확실성과 별도로 현재 확보한 정보의 중요성을 어떻게 판단했는지가 쟁점이다.

특히 국민은행 사고는 최초 발표 이후 피해 규모가 대폭 수정돼 공시 검토의 기초 정보부터 달라졌다.

전체 유출 인원은 최초 119명에서 2천210명으로 늘었다. 지난달 26일 고객 1천631명과 임직원 460명 등 2천91명의 정보유출 사실을 추가로 확인했다고 발표한 결과다. 유출이 확인된 정보 항목도 기존 17개에서 39개로 확대됐으며 계좌번호와 예금잔액, 대출 거래내역, 신용등급 등 금융정보가 포함됐다.

추가 피해는 금감원이 KB금융과 국민은행을 대상으로 진행 중인 정기검사 과정에서 확인된 것으로 전해졌다. 초기 조사에서 분석 대상 데이터의 범위를 적절하게 설정하지 못해 일부 유출 인원이 누락됐을 가능성이 제기되면서, 피해 규모뿐 아니라 조사와 보고 과정의 적정성도 검사 대상이 됐다.

금감원 검사 결과에 따른 제재가 금전적 부담으로 연결될 가능성도 있어 KB금융의 공시 검토에는 확대된 유출 피해와 함께 내부통제 및 규제상 위험도 반영됐는지가 중요해졌다.

그럼에도 KB금융 측은 최초 검토 당시와 비교해 어떤 위험을 추가로 반영했는지는 설명하지 않고 있다.

은행이 지주에 보고한 사고 정보의 변화와 이에 따른 공시 판단 과정도 공개되지 않았다.

피해 확대 자체가 공시 의무 위반을 의미하지는 않는다. 다만 최초 피해 파악에 한계가 드러나고 추가 검사까지 진행되는 만큼, 지주의 공시 검토가 충분한 정보를 토대로 이뤄졌는지, 이후 이를 어떻게 보완했는지가 관건이다.

KB금융은 "현재로서는 본 건에 따른 금전적인 영향 등을 예상하기 어려운 시점"이라며 "본 건과 관련한 진행사항 등을 면밀히 모니터링하며 공시 여부도 지속적으로 검토하고 있다"고 말했다.

sgyoon@yna.co.kr