[서울=뉴스핌] 이윤애 기자 = "차이는 기본에 충실한 부분."

이찬진 금융감독원장은 지난 19일 국회 정무위원회 국정감사에서 해킹으로 정보가 유출된 금융회사와 그렇지 않은 곳의 차이를 묻는 질문에 이렇게 답했다. 다중 인증을 갖추거나 공격에 노출되는 접점을 관리한 것이 피해를 막는 데 중요했다는 설명이다. 인공지능(AI)을 활용한 공격이 금융권을 흔드는 상황에서 감독당국 수장이 강조한 것은 '기본'이었다.

최근 저축은행에서 벌어진 일을 보면 이 말의 무게가 남다르다. OK저축은행에서는 지난 11일 대출신청 페이지를 겨냥한 해킹으로 고객 250명의 정보가 유출됐다. 회사는 이후 의심 IP와 접속경로를 차단하고 취약점 보완을 마쳤다고 알렸다. 그러나 시스템 전수점검이 진행되던 15일에는 모바일 수신서비스 관련 홈페이지가 또 공격받아 고객 268명의 정보가 추가로 유출됐다. 두 차례 해킹으로 피해 고객은 총 518명으로 늘었다.

공격 받은 곳이 서로 다르다는 설명은 고객에게 위안이 되기 어렵다. 첫 사고를 수습하는 동안에도 다른 경로로 정보가 빠져나갔다면 점검 범위와 대응 방식이 충분했는지부터 되물어야 한다. 특정 취약점을 보완한 것과 고객정보를 지킬 체계를 갖춘 것은 다르다. '차단·보완 완료'라는 안내가 주는 안도감에 실제 보안 수준이 미치지 못한 셈이다.

예가람저축은행은 유출 정보에 대한 안내부터 흔들렸다. 초기에는 이름과 생년월일, 연락처 등을 공지했지만 이후 주민등록번호와 계좌번호 등도 유출 항목에 추가됐다. 지난 19일 국감에서 제시된 유출 규모는 5만24건이다. 고객으로서는 사고 소식을 접한 뒤에도 자신의 어떤 정보가 노출됐는지 다시 확인해야 하는 상황에 놓였다.

조사가 진행되면서 피해 범위가 달라질 수는 있다. 그렇기에 처음부터 확인된 사실과 조사 중인 내용을 명확히 구분하고, 추가로 파악한 내용은 신속하게 알려야 한다. 유출 항목은 고객이 비밀번호 변경이나 금융사기 예방 등 후속 대응을 판단하는 근거다. 정확한 사고 안내 역시 금융회사가 지켜야 할 보안의 기본이다.

관리 책임도 살펴야 한다. 국감에서는 예가람저축은행이 그룹 계열사에 전산 업무를 맡긴 구조가 점검 대상에 올랐다. 계열사 위탁 자체를 사고 원인으로 단정할 수는 없다. 다만 업체 선정 때 보안 역량을 충분히 검증했는지, 위탁 이후에도 감독과 취약점 점검이 제대로 이뤄졌는지는 확인해야 한다. 업무를 외부에 맡겨도 고객정보 보호 책임까지 넘길 수는 없다.

웰컴저축은행의 여신심사·사후관리 취약점이나 OK저축은행의 소비자보호 내부통제 미흡 평가를 이번 해킹과 곧바로 연결하는 것도 경계할 일이다. 각각의 원인과 책임은 따로 규명해야 한다. 그러나 앞서 드러난 관리의 빈틈을 경영진이 얼마나 무겁게 받아들이고 개선했는지는 이번 사고를 계기로 함께 짚어볼 문제다.

금융당국의 긴급 자체 점검에서는 금융회사 555곳 중 130곳이 미흡 사항을 보고했다. 저축은행도 11곳이 포함됐다. 금감원은 외부에 노출된 접점을 다시 전수조사하도록 했다. 필요한 조치다. 다만 체크리스트를 채우고 보완 결과를 제출하는 것으로 끝나서는 안 된다. 실제 공격을 막을 수 있는지 검증하고, 발견된 취약점이 해소될 때까지 확인해야 한다.

중소형사의 인력과 예산이 부족하다면 공동 지원을 강화할 필요가 있다. 동시에 경영진도 보안을 사고 이후 수습 비용이 아닌 금융업을 영위하기 위한 필수 투자로 받아들여야 한다. 고객이 원하는 것은 '조치했다'는 설명이 아니라 같은 불안을 되풀이하지 않아도 된다는 확신이다. 점검과 보완에도 사고가 반복된 만큼 저축은행의 보안 관리와 사고 대응 체계를 전반적으로 재점검할 때다.  

yunyun@newspim.com