금융권 AI해킹 정보유출, 당국 주도 배상조정 없다

[뉴스토마토 신수정 기자] 금융권 전반으로 인공지능(AI)을 활용한 해킹과 정보 유출 피해가 확산하고 있지만, 금융당국이 배상에 관여하지는 않을 전망입니다. 과거 해외 금리 연계 파생결합펀드(DLF) 사태나 홍콩 H지수 주가연계증권(ELS) 사태 당시 당국이 배상 기준을 제시했던 것과 달리 정보 유출은 금전적 피해와 해킹 사고 사이의 인과관계를 입증하기 어렵기 때문입니다.

 

14일 금융권에 따르면 지난달 말부터 최근까지 신한·KB국민·하나·BNK부산은행 등 은행권을 시작으로 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 등 금융사 11곳에서 AI 에이전트(Agent)를 활용한 해킹 시도와 개인·법인 정보 유출 사고가 잇따라 확인됐습니다.

 

피해가 금융권 전반으로 번지면서 일부 금융사가 선제적인 일괄 보상에 나섰거나 새마을금고중앙회가 금융당국과 보상안을 협의하고 있다는 이야기도 나왔습니다. 그러나 취재 결과, 당국 주도로 배상안을 마련하거나 협의를 진행한 사례는 없는 것으로 파악됐습니다. 각 금융사가 유사시를 대비해 자체적으로 마련해 둔 내부 기준과 대응 절차가 알려진 것 뿐입니다. 

 

웰컴저축은행 관계자는 "선제적 보상 절차에 착수했다거나 금융당국과 보상안을 협의하고 있지 않았다"며 "고객 피해 규정이나 금액도 확정되지 않은 상황에서 일괄 보상을 진행하는 것은 상식적으로 불가능하다"고 설명했습니다. 이어 "보상안이 마련됐다는 것은 사고 발생 시 대응하기 위한 내부적인 기본 원칙과 규정을 갖췄다는 의미"라고 덧붙였습니다.

 

최근 '피해 발생 시 전액 보상하겠다'는 방침을 밝힌 새마을금고중앙회도 당국과의 사전 협의를 거친 것은 아닌 것으로 확인됐습니다. 자체적으로 보유한 기준안을 토대로 보상 계획을 구상하는 단계라는 설명입니다.

 

새마을금고중앙회 관계자는 "전액 보상 방침은 금융당국과의 협의가 아닌 자체적인 내부 판단과 결정을 거쳐 나온 것"이라며 "유사 범죄 피해 발생 시 고객 보상을 진행하는 내부 규정과 프로세스에 기반해 내린 입장"이라고 밝혔습니다. 이 관계자는 "현재 당국과 별도로 보상안을 협의하거나 논의 중인 내용은 없다"고 말했습니다.

 

금융감독원도 DLF·ELS 사태 당시에는 금융사의 불완전판매 과실과 피해 금액을 토대로 분쟁조정 기준을 마련할 수 있었지만, 이번에는 정보 유출 사실만으로 이후 발생한 2차 피해까지 금융사의 책임으로 연결하기 어렵다는 설명입니다. 

 

금감원 관계자는 "과거 DLF나 ELS 사태 당시 당국이 제시했던 분쟁조정기준(안)과 자율배상안은 금융사의 불완전판매 과실 및 피해 금액 산정이 명확했고, 이에 따라 자율적 이행을 맡긴 '권고' 사항이었다"며 "이번 해킹 사건은 단순 유출 사실과 향후 발생하는 보이스피싱 등 2차 피해 사이의 인과관계를 입증해야 한다는 점에서 완전히 다른 영역"이라고 말했습니다. 그는 "당국과 금융사가 일괄 보상안을 협의하고 있다는 소문도 사실과 다르다"며 "금융사가 유출 사고로 인해 실질적으로 입증된 피해에 대해 보상하겠다는 원칙적인 방침을 세운 것"이라고 설명했습니다. 그러면서 "당국은 향후 검사를 통해 금융사 과실로 인한 직접적인 피해가 입증됐는데도 보상이 이뤄지지 않을 경우 분쟁조정 등을 통해 보상하도록 지도하겠다는 수준의 가이드라인을 공유하는 정도"라고 덧붙였습니다.

 

금융감독원 사옥과 해킹 화면. (사진=연합뉴스, 뉴시스. 챗GPT 합성)

 

신수정 기자 [e-mail]

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김의중 금융부장이 최종 확인·수정했습니다.