금융권 연쇄 해킹으로 온투업체 4곳이 뚫렸지만, 예치기관의 지급 전 확인은 선택 사항이고 금보원에 가입한 업체는 한 곳도 없다./클립아트코리아


금융권 연쇄 해킹이 P2P금융인 온라인투자연계금융업(온투업)으로 번지면서 고객 예치금이 유출됐다. 고객 자금을 회사 재산과 분리해 예치기관에 맡기도록 한 제도가 해킹 앞에서는 제 기능을 못했다.

예치기관은 업체의 이체 지시를 별도 검증 없이 처리한다. 중앙기록관리기관을 통한 지급 전 확인도 의무가 아니다. 업체 전산이 뚫리면 분리 보관한 고객 자금까지 외부로 빠져나갈 수 있다. 업체 전산를 장악할 경우 예치기관에 맡겨진 고객 돈을 빼낼 수 있는 허술한 구조가 도마에 올랐다.

금융위원회에 따르면 9월30일부터 이달 3일까지 금융권 37개사에서 침해사고 40건이 신고됐다. 이 가운데 온투업체는 4곳이다. 줌펀드에서는 해커가 회사 서버에 침입해 비정상 이체를 요청했고, 예치기관이 별도 확인 없이 처리하면서 고객 예치금 약 3억원이 제3자 계좌로 빠져나갔다. 금융권 연쇄 해킹 과정에서 고객 예치금이 직접 유출된 첫 사례다.

줌펀드는 해킹으로 주민등록번호와 계좌번호, 거래내역 등 정보까지 유출됐을 가능성이 제기된다. 금융감독원은 지난달 28일부터 현장점검을 진행해 해커의 침입 경로와 예치기관의 지급 승인 절차를 조사하고 있다

온라인투자연계금융업법은 투자자 자금을 회사 재산과 분리해 은행 등 예치기관에 맡기도록 규정한다. 업체가 파산해도 고객 자금을 보호하기 위한 조치다. 하지만 실제 자금 인출 지시는 업체 전산에서 나온다. 온투업 감독규정은 업체가 지급할 금액을 통보하면 예치기관이 이를 지급하도록 정한다. 지급 전 중앙기록관리기관에 관련 자료를 확인하는 절차는 '요청할 수 있다'고만 규정한다. 의무 사항이 아니다. 업체 전산이 해킹되면 자금 분리만으로는 무단 인출을 막기 어렵다.

사고 배상 책임은 업체가 진다. 감독규정이 정한 최소 보장금액은 연계대출 규모에 따라 5000만원에서 3억원이다. 업체들의 자체 대응 여력도 부족하다. 금융결제원이 운영하는 온투업 중앙기록관리기관에 따르면 10월 기준 46개 업체의 대출잔액은 2조4123억원이다. 이 가운데 23곳은 대출잔액이 100억원에 미치지 않는다. 온투업체는 전자금융거래법상 금융회사로 분류되지만 보안관제와 침해 대응을 지원하는 금융보안원 사원기관 233곳에 가입한 곳은 없다.

온투업법은 업체가 온라인 정보관리 실태를 연 1회 이상 점검해 공개하도록 규정한다. 외부 전문기관에 점검을 맡길지는 업체 자율에 달렸다. 지난달 31일 해킹을 당한 한 업체는 이달 3일 투자자 계정 1개가 탈취돼 투자자와 차입자의 주민등록번호, 연계정보(CI), 계좌정보가 유출됐을 가능성이 있다고 공시했다.

온라인투자연계금융협회 관계자는 "온투업체 규모가 영세해 초기에 금융보안원에 가입하지 않았다. 그동안은 사고가 안 났기 때문에 가입 여유가 없었다"고 말했다.

당국의 온투업 대책에도 보안은 빠져 있다. 금융위가 9월22일 발표한 온투업 포용금융 강화방안의 8대 과제에는 보안 관련 내용이 없다. 닷새 뒤인 27일 온투업체 두 곳에서 해킹 사고가 발생했다.

영업이 어려운 업체의 폐업 절차 개선도 속도가 나지 않는다. 관련법 개정을 거쳐 2027년 4분기에 시행될 예정이다. 신규 영업을 하지 않는 줌펀드 같은 업체도 제도 시행 전까지 고객 자산과 전산을 관리해야 한다. 영국 금융행위감독청(FCA)은 2019년 P2P 규정을 강화하면서 플랫폼이 영업을 중단해도 기존 계약을 관리하도록 폐업 대비 체계와 운영 매뉴얼을 의무화했다.

금융위는 지난 5일 중소형 금융사에 취약점 탐색과 조치 방안을 제공하는 '원스톱 AI 방어서비스'를 지원하고, 보안 관리가 부실한 금융사에는 최고경영자(CEO) 책임을 묻겠다고 밝혔다. 협회 관계자는 "소형사 지원과 관련한 후속 조치가 곧 있을 것으로 예상한다. 협회가 직접 점검할 수 있고 점검 결과를 제출하도록 할 수 있어 검토해보겠다"고 말했다.