연쇄 해킹 충격 지나고 ‘맞춤형 피싱’ 닥친다…‘직접 송금’ 땐 보상도 불분명

금융권을 덮친 연쇄 해킹의 충격이 ‘2차 피해’ 우려로 옮겨가고 있다. 주요 은행들은 금전적 피해를 전액 보상하겠다고 밝혔지만, 2차 피해가 이번 정보유출에서 비롯됐는지 가려내기 어렵기 때문이다. 고객이 보이스피싱 등에 속아 직접 송금한 경우는 현행 보상 제도의 사각지대에 놓여 있다.

7일 금융권에 따르면 고객 정보가 유출된 금융회사는 금전적 피해에 대한 보상 방침을 밝힌 데 이어, 자체 점검과 추가 피해 예방 등 후속 대책 마련을 이어가고 있다. 신한은행은 “유출로 인해 고객에게 발생한 금전적 손해(2차 피해)에 대해 책임을 다해 전액 보상하겠다”고 밝혔다. KB국민·하나은행 등도 피해가 확인되면 전액 보상한다는 입장이다.

박경민 기자

금융당국은 지난 6일 소비자경보 ‘주의’를 발령하고 실제 피해 사례가 나타나면 ‘경고’로 격상할 방침이라고 밝혔다. 특히 유출된 금융정보를 활용한 보이스피싱을 경고했다. 사기범이 은행 직원이나 대출상담사를 사칭해 소득·대출한도 등 피해자의 정보를 제시하며 접근하는 ‘맞춤형 보이스피싱’이 가능해서다. 금융당국은 문자로 받은 인터넷 주소(URL)을 누르거나 앱을 설치하지 말고, 명의도용이 우려되면 ‘금융거래 안심차단서비스’ 등을 이용하라고 당부했다.

다만 향후 이번 정보유출과 관련된 것으로 의심되는 보이스피싱 피해가 발생하더라도, 범행에 활용된 개인정보의 유출 경로를 특정하기는 쉽지 않다. 금융당국 관계자는 “보이스피싱에 이용된 정보가 이번 금융회사 사고에서 유출된 것인지 다른 경로에서 나온 것인지 확인하기 어렵다”며 “반면 부정결제처럼 인과관계가 명확한 피해라면 보상이 가능할 수 있어 2차 피해가 발생한다면 그 유형과 경위를 개별적으로 살펴봐야 한다”고 말했다.

박경민 기자

배상 범위도 아직 불분명하다. 2024년부터 금감원과 은행권이 협약을 통해 마련한 자율배상 제도인 ‘비대면 금융사고 책임분담제’가 있지만, 사기범에 속은 고객이 직접 돈을 송금한 거래는 현행 기준상 보상 대상에서 제외된다. 이에 정부는 보이스피싱에 속아 직접 돈을 송금한 피해자까지 금융사가 일정 부분 배상하도록 ‘무과실 배상책임’ 법제화를 지난해부터 추진하고 있다. 그러나 관련 법안(통신사기피해환급법 개정안)은 아직 국회에 계류 중이다. 금융당국 관계자는 “직접 송금 피해에 대한 배상은 법 통과를 전제로 한 것으로 현재 적용되는 것은 아니다”라고 설명했다.

과거에도 금융사의 전액 보상 방침이 모든 피해 신고에 대한 자동 보상으로 이어진 것은 아니다. 지난해 7월 랜섬웨어 공격을 받은 SGI서울보증은 피해 전액 보상 방침을 밝혔지만, 같은 해 9월까지 접수된 79건 가운데 인과관계가 확인된 24건(1190만원)에 대해서만 보상이 이뤄졌다.

따라서 향후 피해가 발생할 경우 이번 정보유출과의 인과관계를 두고 금융사와 피해자 간 판단이 엇갈릴 수 있다. 금융권 관계자는 “과거 내부자 유출이나 보안 관리 미흡에 따른 사고는 있었지만 이번처럼 외부 공격으로 여러 금융회사가 동시에 피해를 본 사례는 전례를 찾기 어렵다”며 “당국과 협의해 큰 틀의 보상 기준을 마련할 필요가 있다”고 말했다.

금전적 2차 피해와 별개로 개인정보 유출 자체에 대한 위자료 지급 여부도 쟁점이다. 이번 사태와 관련해서도 이날부터 집단소송 움직임이 나타나고 있다. 2014년 KB국민·NH농협·롯데카드 개인정보 유출 사건에서는 법원이 일부 피해자에게 1인당 10만원의 위자료를 인정했다. 강형구 금융소비자연맹 부회장은 “과거에는 소송에 참여한 소비자에게만 위자료가 지급되는 경우가 많았다”며 “이번에는 개인정보 유출 자체에 대해서도 보다 폭넓은 보상을 검토할 필요가 있다”고 말했다.



박현주([email protected])