[시대데스크/황국상]해킹 손실, 기업 혼자 감당 못 한다

한 로펌이 신한은행 고객 정보 유출 사건의 손해배상 소송에 함께할 피해자를 모집하고 있다. 청구액으로는 1인당 10만~30만원 안팎이 거론된다. 신한은행에서 유출된 개인정보는 약 2만5000건으로 알려져 있다. 청구액을 단순히 곱해 보면 25억~75억원 정도가 된다.

해킹 사고가 터질 때마다 손해배상 소송이 제기된다. 2014년 1월 카드 3사에서 고객 정보 1억건이 유출됐을 때는 피해자 9000여 명이 소송을 냈다. 대법원은 2018년 피해자 1인당 10만원의 위자료를 책정했다. 지난해 잇따라 해킹 피해 사실이 알려졌던 이동통신 3사의 피해자들도 소송을 제기했다.

당국의 대응도 제재 수위를 높이는 쪽으로 기운다. 2015년 3월 개정된 신용정보법은 기업이 고의나 중대한 과실로 정보를 유출하면 실제 손해의 최대 3배까지 물어내도록 했다. 올 9월 시행된 개정 개인정보보호법은 고의·중과실 반복이나 1000만 명 이상 규모의 유출 등 중대한 법령 위반에 대해 과징금 상한을 전체 매출액의 10%까지로 올렸다.

기업이 마련해야 할 돈은 피해 규모가 클수록 기하급수적으로 늘어난다. 지난 7월 한국소비자원 산하 소비자분쟁조정위원회는 쿠팡에 지난해 발생한 개인정보 유출사고에 대해 1인당 10만원을 배상하라고 결정했다. 지난해 쿠팡 이용자 50명이 신청한 집단 분쟁조정 사건의 결정이 올해 나온 것이다. 당시 쿠팡 개인정보 유출사고의 피해규모가 3756만 명에 이른다는 점을 감안할 때 피해자 모두가 분쟁조정을 신청할 경우 쿠팡이 물어야 하는 배상금은 3조8000억원에 육박할 수 있다.

현행 개인정보보호법은 손해배상책임의 이행을 위해 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 해야 한다고 규정한다. 개인정보보호법 시행령이 정한 의무보험의 최대 한도는 단 10억원이다. 공제 가입액이나 적립금도 마찬가지다. 의무 보험에만 기댄 기업은 한도를 넘는 몫의 책임을 자기 돈으로 물어내야 한다.

그나마 대기업의 경우는 이같은 손해배상액이나 과징금을 감당할 수 있지만 중견·중소기업의 경우 큰 규모의 해킹 피해가 발생하면 기업의 존립 자체가 위협받을 수 있다. 최근 해킹 피해를 입었다고 알려진 한 중형 금융사 관계자는 "우리 회사는 10억원의 적립금을 쌓아둔 게 전부"라고 했다. 법이 정한 의무 이상의 지출을 할 의무가 없기 때문이다.

인공지능(AI) 기술의 발달로 해킹의 기법도 고도화되고 있다. 해킹범들이 단계별로 기업화된 형태를 꾸려 초기 침투 통로를 만들어 다음 단계의 범인들에게 돈을 받고 넘기고 그 통로를 통해 기업·기관의 핵심망에 악성코드를 심어 정보를 유출하거나 시스템을 마비시키는 식의 공격은 이미 일반화됐다. 그러나 해킹 피해에 대응하는 시스템은 여전히 과징금 수위를 올리는 식의 제도나 기업이 알아서 자기 돈으로 책임을 지도록 하는 수준에 머물러 있다.

기업에 책임을 묻지 말라는 얘기가 아니다. 그러나 책임이 감당할 수 있는 수준을 넘으면 이는 사고를 예방하는 효과보다 기업을 무너뜨리는 부작용을 초래할 수 있다. 연쇄 해킹의 시대에 손실을 개별 기업에만 지우는 방식은 더는 유효하지 않다. 대규모 손실을 분담하는 체계를 구축하는 게 필요하다.

이를 위한 가장 대표적인 장치가 보험이다. 개인정보 유출 보험도 자동차보험처럼 만들면 되지 않을까. 자동차손해배상보장법은 차량 보유자가 의무적으로 보험에 가입하도록 했다. 가해자의 지급능력과 무관하게 피해자가 피해를 보전받을 수 있도록 한 것이다. 사이버 사고도 구조가 같다. 기업의 존립 자체가 위협을 받으면 피해자가 보상받을 길도 사라진다.

개인정보 유출 보험도 일정 규모 이상의 기업에 가입을 의무화하고 한도를 현실에 맞게 올리되 초대형 사고는 민관이 나눠 지는 틀이 필요하다. 해킹이 사회 전체의 위험이 된 만큼 손실 분담 방식에 대한 고민이 필요하다.