SBS Biz

최근 국내에서 개인정보 유출과 금융 관련 해킹 사태가 벌어지고 있지만 정작 금융감독당국은 제대로 된 제재나 조사를 하지 못하고 있습니다. 법적 근거를 통한 처벌 조항이 없거나 조사 권한을 갖고 있지 않기 때문입니다.



국내 가상자산 거래소 1위 업비트에서 코인 1천억 개가 탈취되고, 이커머스 공룡 쿠팡에서 3천370만 명의 개인정보가 유출됐습니다. 두 기업 모두 국민들의 자산과 민감 정보를 다루며 금융 관리·감독이 필요한 곳들입니다. 

현행법상 가상자산 사업자 제재·배상 조항 없어
오늘(8일) 업계에 따르면 지난달 27일 업비트에서는 54분 만에 1천억 개가 넘는 코인이 외부로 유출됐습니다. 국회 정무위원회 소속 강민국 의원실에 따르면 업비트 측은 해킹 인지 후 6시간이 지나서야 금융당국에 이를 보고했습니다.

만일 시중은행에서 450억 원(피해 추산액) 규모의 자금이 해킹으로 사라지고, 이를 6시간이나 늦게 보고했다면 기관 경고는 물론 경영진에게 책임을 물 수 있는 해임 사안입니다 은행은 '전자금융거래법'에 따라 최고 수준의 보안 의무를 지며, 불가피한 사고라 해도 시스템 관리자로서 무과실 책임을 지기 때문입니다.



업비트는 상황이 다릅니다. 현행 전자금융거래법 적용 대상에 가상자산사업자는 포함되지 않습니다. 지난 7월 시행된 '가상자산이용자보호법' 역시 시세조종 등 불공정거래 감시에 초점이 맞춰져 있어, 해킹 등 보안 사고 발생 시 직접적인 제재나 배상을 강제할 조항이 빠져 있습니다.

이찬진 금융감독원장은 지난 1일 기자간담회에서 이러한 점을 언급했습니다. 이 원장은 "가상자산이용자보호법상 제재에는 한계가 있다"며 "일반 금융권과 (법적 지위가) 조금 다른 부분이 있어 현실적으로 중징계로 이어지긴 어렵다"고 밝혔습니다. 

결제 정보 여전히 불안한데…금감원 쿠팡 조사에 한계
3천만 명이 넘는 회원의 정보가 털린 쿠팡 사태 역시 금융당국의 감시 사각지대를 여실히 보여줍니다. 쿠팡은 이번 사태와 관련해 사고 발생 8일 만인 어제(7일) 기존의 '개인정보 노출'이라는 표현을 '유출'로 정정했습니다. 

쿠팡 측은 "신용카드 등 결제정보는 유출되지 않았다"고 선을 그었지만, 이용자들의 불안은 가라앉지 않고 있습니다. 금융 플랫폼에서 많이 사용되는 '원 아이디(One-ID)' 구조 탓입니다. 

쿠팡에 가입하면 자회사인 쿠팡페이 계정이 자동으로 생성됩니다. 소비자가 결제 수단을 등록하기 위해 카드 번호나 계좌 정보를 입력하는 첫 화면은 '쿠팡(쇼핑몰)' 앱입니다. 입력 단계인 쿠팡 웹/앱 단계에서도 정보가 노출되기 때문에 자회사인 쿠팡페이와 어느정도 물리적인 망 분리를 통해 추가 피해를 차단할 수 있는지 조사가 필요합니다.

문제는 결제 정보를 보관하는 '쿠팡페이'는 전자금융업자로 금감원의 감독 대상이지만, 정보를 입력받는 모회사 '쿠팡'은 통신판매업자로 분류돼 금감원의 조사 권한이 없다는 것입니다. 

실제로 금감원은 이번 쿠팡 개인정보 유출 관련 민관합동조사단에도 포함되지 못했습니다. 금융정보 유출 가능성을 직접 조사할 필요성 있는 금융 당국이 실질적인 조사 과정에 참여하지 못하는 것입니다.

이찬진 금감원장도 지난 3일 국회 정무위원회 현안 질의에서 "쿠팡 같은 기업에 대해 (금감원이) 영업정지를 할 법적 방법이 없다"고 말했습니다.

해킹 당해도 영업정지 '1개월'
업계에서는 디지털 금융 사업자에 대한 제재 수위가 지나치게 낮은 점도 지적하고 있습니다.

현행 전자금융거래법상 고객 정보를 고의로 유출하거나 업무 외 목적으로 사용할 경우 6개월 이내의 영업정지가 가능합니다. 하지만 '해킹'으로 인한 사고의 경우 영업정지 기간은 최대 1개월로 대폭 줄어듭니다.

개인정보 유출에 따른 과징금은 5천만 원에 불과하고, 신용정보법을 적용하더라도 최대 과징금은 50억 원 수준입니다. 조 단위 매출을 올리는 빅테크 기업들에게는 타격이 없는 솜방망이 처벌이라는 비판이 나오는 이유입니다.

기업들은 보안 투자보다는 사후 수습을 택하는 수순이고, 그 피해는 고스란히 금융 소비자의 몫으로 남게 됐다는 지적이 나옵니다.