[녹색경제신문 = 박지안 기자] 신한은행과 KB국민은행, 하나은행이 개인정보 유출로 고객 피해가 발생하면 전액 보상하겠다고 밝혔지만, 구체적인 보상 기준과 심사 절차는 아직 공개하지 않았다. 유출 대상자 전원에게 일괄 지급하는 방식이 아니라 실제 피해가 발생했을 때 보상하는 구조다. 유출 정보와 피해 사이의 인과관계를 어떻게 판단하고 고객의 입증 부담을 얼마나 덜어줄지가 관건으로 꼽힌다.

12일 녹색경제신문의 취재에 따르면 금융당국은 현재까지 이번 개인정보 유출과 관련해 보이스피싱 등으로 고객 자금이 실제 빠져나간 사례는 확인되지 않았다고 밝혔다. 금융위원회와 금융감독원은 지난 6일 소비자경보 '주의'를 발령했으며, 실제 피해가 확인되면 경보를 '경고'로 격상할 방침이다.

은행들 "실제 피해 발생하면 보상"…세부 기준은 미정

은행들이 밝힌 보상 원칙은 실제 피해가 발생하면 보상한다는 것이다. 다만 유출 정보가 피해에 활용됐는지, 피해 발생 경위가 어떠한지 등을 어떤 기준으로 판단할지는 구체적으로 제시하지 않았다.

신한은행은 고객 피해가 발생하면 유출 정보와의 연관성, 피해 발생 경위 등을 종합적으로 검토해 보상 여부를 판단하겠다는 입장이다. 고객의 피해 입증 부담을 최소화하는 절차도 마련하고 있다고 밝혔다.

KB국민은행은 보상 기준과 방안이 확정되는 대로 공개하겠다고 설명했다. 하나은행도 실제 피해가 발생하면 관련 규정에 따라 전액 보상하겠다고 밝혔다. 그러나 세 은행 모두 보상 범위와 인과관계 판단 기준, 심사 절차 등 세부적인 운영 방안은 공개하지 않았다.

피해가 의심되는 고객은 각 은행의 공식 채널을 통해 유출 여부와 대응 절차를 확인할 수 있다. 신한은행(1544-2946)과 KB국민은행(1566-8331)은 피해 관련 전담 상담창구를 운영하고 있다.

신한 2만5000명·KB 119명·하나 89명…유출 경위 달라

은행별 유출 규모와 정보 항목, 사고 경위는 차이가 있다.

신한은행은 지난달 30일 고객정보 유출 사실을 인지하고 지난 1일 공개했다. 외부인이 인증 절차를 우회해 대출모집인용 간편조회 서비스에 접근한 것으로 파악됐다. 유출 대상은 약 2만5000명으로, 이름과 전화번호, 연소득, 산출 대출한도 등이 포함됐다. 이 가운데 주민등록번호는 66건, 연계정보(CI)는 97건이다.

신한은행은 외부 IP 차단과 서비스 중단, 보안정책 강화 등의 조치를 시행했다. 고객은 신한은행 홈페이지와 '신한 슈퍼SOL' 앱에서 유출 여부를 확인할 수 있다.

KB국민은행은 지난달 30일 밤 직원용 모바일 업무지원시스템에 대한 비정상적인 외부 접근을 인지하고, 지난 2일 119명의 정보 유출 사실을 공개했다. 유출 대상은 고객 99명과 전·현직 직원 20명이다. 고객 정보에는 이름과 휴대전화번호, 암호화된 주민등록번호, 생년월일, 성별, 이메일, 주소, 신용등급, 연소득, 대출잔액, 예금잔액 등이 포함됐다.

KB국민은행은 해당 시스템이 인터넷뱅킹 등 고객 금융거래 시스템과 별개로 운영된다고 설명했다. 사고 인지 후 해당 서버와 접근 경로를 차단하고 대상 고객에게 개별 안내했다.

하나은행은 지난 1일 영업지원시스템(ODS)에 대한 외부의 비정상적인 접근을 인지했으며, 지난 2일 고객 89명의 정보가 유출됐다고 밝혔다. 유출 항목은 주민등록번호와 성명, 주소, 이메일주소, 전화번호, 휴대전화번호, 직장명 등이다.

하나은행은 인지 즉시 금융감독원 등 유관기관에 보고하고 해당 IP와 유사 시스템을 긴급 차단·점검했다. 정보통신기술(ICT)그룹과 금융소비자보호부 등이 참여하는 긴급 대응 태스크포스(TF)와 침해사고대응반도 가동했다. 해당 시스템은 인터넷·모바일뱅킹과 별도로 운영돼 금융거래 정보 유출과는 무관하다는 입장이다.

부산은행에서도 외주 개발자 11명의 정보가 노출됐을 가능성이 확인됐다. 고객 정보 유출과는 구분되는 사안이다. 부산은행은 지난 1일 오후 9시께 인공지능(AI) 에이전트를 이용한 외부 웹서버 공격 시도를 확인하고 관련 페이지를 차단한 뒤 당국에 신고했다.

기존 책임분담제는 직접 송금 피해 제외…법적 구제도 별도 절차

금융권에는 비대면 금융사고가 발생하면 금융회사와 이용자의 과실 정도를 따져 피해를 분담하는 '비대면 금융사고 책임분담기준'(자율배상)이 있다. 그러나 이 제도는 개인정보 유출 자체를 보상하는 장치는 아니다. 피해자가 사기범에게 직접 돈을 이체한 경우도 원칙적으로 배상 대상에서 제외된다.

실제 배상 실적도 제한적이다. 금감원이 이헌승 국민의힘 의원실에 제출한 자료에 따르면 2024년부터 올해 3월 말까지 5대 은행이 해당 기준에 따라 배상한 사례는 29건, 1억8029만원이다. 은행별로는 KB국민은행 9건(9911만원), NH농협은행 11건(6155만원), 신한은행 9건(1963만원)이다. 우리은행과 하나은행은 같은 기간 배상 실적이 없었다.

이번에 은행들이 밝힌 전액 보상 방침이 기존 책임분담제와 어떤 관계인지는 아직 분명하지 않다. 유출 정보가 보이스피싱이나 대출 사기에 악용돼 고객이 직접 송금한 경우까지 보상하는지, 피해와 정보 유출 사이의 인과관계를 어떤 기준으로 판단하는지가 핵심 쟁점이다.

법적 구제 절차도 있지만, 유출 사실만으로 배상금이 자동 지급되는 것은 아니다. 개인정보 보호법 제39조의2에 따라 개인정보처리자의 고의 또는 과실로 개인정보가 유출된 경우 정보주체는 300만원 이하의 범위에서 법정손해배상을 청구할 수 있다. 법원은 구체적인 사정을 고려해 배상액을 정하며, 개인정보처리자가 고의 또는 과실이 없음을 입증하면 책임을 면할 수 있다.

신한은행 건과 관련해서는 법무법인 세담이 공동소송 참여자를 모집하고 있다. 은행의 유출 통지 등을 통해 피해 대상자임을 확인할 수 있어야 참여할 수 있으며, 소송 금액과 일정은 미정이다. KB국민은행은 일반 손해배상 청구와 법정손해배상 청구, 개인정보 분쟁조정위원회를 통한 분쟁조정 등을 구제 방법으로 안내하고 있다.

당국, 2차 피해 특별대응기간 운영…'보상 사칭' 사기 주의

금융당국은 지난 6일부터 한 달간 개인정보 유출에 따른 2차 피해 특별대응기간을 운영하고 있으며, 필요하면 기간을 연장할 방침이다. 금융회사에는 전담 상담창구 운영과 금융거래 안심차단서비스 안내를 주문했다. 이상금융거래탐지시스템(FDS)도 강화하도록 했다.

온라인 대출 신청과 계좌 개설, 고액 이체 등 고위험 거래에는 추가 본인확인을 적용하고, 의심 계좌는 신속히 지급정지한다는 방침이다.

보상을 미끼로 한 사기에도 주의해야 한다. 유출 피해 보상이나 특별대출을 안내한다며 인터넷주소(URL) 클릭을 유도하거나 은행 직원을 사칭해 이체를 요구하는 방식이다. 금융회사와 금융당국은 보상이나 계좌 보호를 이유로 특정 계좌에 송금을 요구하지 않는다. 의심스러운 연락을 받으면 링크를 누르지 말고 공식 앱이나 대표번호로 확인해야 한다. 이미 송금했다면 즉시 경찰(112)과 해당 금융회사에 지급정지를 요청해야 한다.

한편 국회 정무위원회는 지난 8일 전체회의를 열고 오는 19일 금감원 국정감사에 5대 은행장을 증인으로 부르기로 의결했다. 출석 대상은 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장이다. 잇따른 해킹 사고와 개인정보 유출 문제를 점검하기 위한 취지다.

한 금융권 관계자는 "전액 보상 방침의 실효성을 확보하려면 어떤 피해를 보상 대상으로 인정할지, 고객이 피해 사실과 정보 유출의 연관성을 어느 수준까지 입증해야 할지 기준을 구체화해야 한다"며 "보상 절차와 판단 기준을 명확히 공개해 고객의 예측 가능성을 높일 필요가 있다"고 말했다.