해킹 피해 전액 보상한다는데…보이스피싱 송금 땐 불분명

금융감독원은 금융권에서 시작된 인공지능(AI) 해킹과 관련해 공격 IP 28개를 금융회사에 공유했다고 밝혔다. 사진은 7일 서울 시내에 있는 시중은행 현금자동입출금기. [뉴스1]

금융권을 덮친 인공지능(AI) 연쇄 해킹의 충격이 ‘2차 피해’ 우려로 옮겨가고 있다. 해킹된 개인정보로 금전적 손해를 입더라도 직접적인 연관성을 가려내기 어렵기 때문이다. 고객이 보이스피싱 등에 속아 직접 송금한 경우는 현행 보상 제도의 사각지대에 놓여 있다.

7일 금융권에 따르면 고객 정보가 유출된 금융회사는 금전적 피해에 대한 보상 방침을 밝힌 데 이어, 자체 점검과 추가 피해 예방 등 후속 대책 마련을 이어가고 있다. 신한은행 측은 “유출로 인해 고객에게 발생한 금전적 손해(2차 피해)에 대해 책임을 다해 전액 보상하겠다”고 밝혔다. KB국민·하나은행 등도 피해가 확인되면 전액 보상한다는 입장이다.

금융당국은 지난 6일 소비자경보 ‘주의’를 발령하고, 실제 피해 사례가 나타나면 ‘경고’로 격상할 계획이라고 밝혔다. 특히 유출된 금융정보를 활용한 보이스피싱에 대한 주의를 당부했다. 사기범이 은행 직원이나 대출상담사를 사칭해 소득·대출한도 등 피해자의 정보를 제시하며 접근하는 ‘맞춤형’ 보이스피싱이 가능해서다.

박경민 기자

하지만 이번 사고와 관련된 보이스피싱 피해가 발생하더라도 배상을 받을 수 있을지는 불분명하다. 2024년부터 금감원과 은행권이 협약을 통해 마련한 자율배상제도인 ‘비대면 금융사고 책임분담제’가 시행되고 있다. 그러나 사기범에 속은 고객이 직접 돈을 송금한 거래는 보상 대상에서 빠져있다. 보이스피싱에 속아 직접 돈을 송금한 피해자까지 금융사가 일정 부분 배상하도록 하는 ‘무과실 배상책임’ 법제화를 정부가 지난해부터 추진하고 있지만, 관련 법안은 아직 국회에 계류 중이다.

과거에도 금융사의 전액 보상 공약이 모든 피해 신고에 대한 자동 보상으로 이어진 것은 아니다. 지난해 7월 랜섬웨어 공격을 받은 SGI서울보증은 피해 전액 보상 방침을 밝혔지만, 같은 해 9월까지 접수된 79건 가운데 인과관계가 확인된 24건(1190만원)에 대해서만 보상이 이뤄졌다.

박경민 기자

개인정보 유출 자체에 대한 위자료 지급 여부도 쟁점이다. 이번 해킹 사고 피해자는 집단소송에 나설 채비를 하고 있다. 포털사이트에선 ‘신한은행 해킹 피해자 집단소송 카페’가 개설됐다. 서초동의 한 로펌은 정보 유출 피해자를 대상으로 손해배상 집단소송 원고 모집에 나섰다. 2014년 KB국민·NH농협·롯데카드 개인정보 유출 사건에서는 법원이 일부 피해자에게 1인당 10만원의 위자료를 인정했다. 강형구 금융소비자연맹 부회장은 “과거에는 소송에 참여한 소비자에게만 위자료가 지급되는 경우가 많았다”며 “이번에는 개인정보 유출 자체에 대해서도 보다 폭넓은 보상을 검토할 필요가 있다”고 말했다.

이번 사고를 둘러싸고 정부와 국회 책임론도 불거지고 있다. 금융위원회는 당초 AI 시대 정보보안에 대응하기 위한 디지털금융안전법을 올해 시행할 예정이었다. 하지만 이날까지 법안을 국회에 제출하지 못했다. 법안은 가이드라인에서 끝나지 않고, 보안 사고에 대한 금융회사의 책임을 강화해 스스로 보안 투자를 늘리도록 하는 내용이다. 국회 정무위원회에도 보안 사고의 책임과 처벌을 강화하는 전자금융거래법 개정안 4건이 발의돼 있지만, 논의조차 되지 못했다. 금융권 관계자는 “금융사의 비용 부담 때문에 정보보안 관련 법안이 우선 순위에서 밀리는 경향이 있다”며 “해킹 기술은 AI 기술로 빠르게 진화하는데, 제도는 이를 따라가지 못하고 있다”고 지적했다.





박현주.김도년([email protected])