금융사 7곳 뚫렸는데 집단소송법 소급 변수

최근 인공지능(AI)을 활용한 것으로 추정되는 해킹으로 몸살을 앓는 금융권이 정부 제재에 더해 집단소송법 소급 입법이라는 변수까지 마주했다. 국회에서 논의 중인 소급 적용안이 확정되면 이번 사건 피해자도 집단소송에 참여할 수 있어 금융권의 긴장감이 높아지고 있다.

6일 정치권과 금융권에 따르면 신한·국민·하나·부산은행과 현대캐피탈, 예가람·웰컴저축은행 등 7개 금융사에서 AI를 활용한 것으로 추정되는 해킹이 잇따랐다. 7개사 사고에서는 동일 공격자의 인터넷주소(IP)가 발견됐다.

우리·농협은행도 공격을 받았지만 자체 보안시스템으로 차단했다. 확인된 유출 규모는 개인 약 6만6000명과 법인고객 정보 최대 2200건이다. 개인 피해자에는 현대캐피탈 주택대출 모집인 146명과 부산은행 외주 개발직원 11명도 포함됐다.

신한은행에서 약 2만5000명, 예가람저축은행에서 약 4만명의 개인정보가 유출됐다. 신한은행 유출 정보에는 이름·전화번호·연소득·대출한도 등이 담겼으며 일부 고객의 주민등록번호도 포함됐다. 외부 공격자가 인증을 우회해 대출 관련 서비스에 접근한 것으로 파악됐다.

이재명 대통령은 철저한 조사와 대책 마련에 만전을 기하라고 지시했다. 이억원 금융위원장 역시 긴급 점검회의에서 이미 공유된 위험정보에도 점검을 소홀히 해 유사 사고가 발생하면 관련 법령에 따라 엄정하게 책임을 묻겠다고 밝혔다. 과학기술정보통신부는 한국인터넷진흥원과 긴급 대응체계를 가동했다.

이번 사고가 지난 9월11일 시행된 개정 개인정보보호법에 따른 징벌적 과징금 부과 대상에 해당하지 않는다는 시각이 많지만 추가 피해가 드러날 경우 상황이 달라질 수 있다. 매출액의 최대 10%를 부과하는 이 제도는 고의·중과실로 1000만명 이상의 개인정보가 유출됐거나 3년 안에 위반을 반복한 경우 등에 적용되는 만큼 현재까지 확인된 내용으로는 요건에 미치지 못한다는 것이다.

현행 전자금융거래법(전금법)상 해킹 사고에 따른 과징금 상한도 50억원이다. 침해사고로 거래정보·개인신용정보가 유출되면 총매출액의 3% 이하 과징금을 부과하도록 하는 전금법 개정안은 지난해 11월 발의됐지만 10개월 넘도록 답보 상태다.

이런 가운데 집단소송법이 변수로 거론된다. 국회 법제사법위원회는 박균택 의원(더불어민주당·광주 광산구갑) 등 32명이 발의한 제정안을 논의 중이다. 박 의원 안은 부칙에 법 시행 이전에 생긴 사유에도 적용하도록 해 전면 소급을 담았다. 민주당은 법 시행 전 3년 이내에 발생한 사건까지 소송 대상에 포함하는 소급 적용을 추진하고 있다. 제외 의사를 밝히지 않은 피해자를 자동으로 소송에 포함하는 옵트아웃 방식도 도입하려 한다.

배상 규모를 가늠할 사례로는 과거 개인정보 유출 사건 판결이 거론된다. 법원은 2014년 카드사, 2016년 인터파크 개인정보 유출 사건에서 1인당 최대 10만원 수준의 배상액을 인정했고, 지난해 8월 모두투어 사건 1심에서도 1인당 10만원 배상 판결을 내렸다. 소비자분쟁조정위원회도 지난 7월 쿠팡 개인정보 유출 사건에서 1인당 10만원 배상 결정을 내렸다.

이번 사건에서 확인된 개인 피해자 약 6만6000명에 1인당 10만원의 배상액을 적용하면 총액은 약 66억원이다. 소급 입법이 확정되면 금융권은 정부 제재에 더해 집단소송에 따른 배상 부담까지 안게 될 수 있다.

안정민 한림대 융합과학수사학과 교수는 "AI 해킹 위험이 높아진 만큼 일이 터질 때마다 제재 수위를 높이기보다는 정부의 역할을 제대로 세우는 것이 중요하다"고 말했다.