5일 국회 정무위원회 소속 김형연 의원(조국혁신당)이 금융감독원으로부터 제출받은 자료에 따르면, 2022년부터 2026년 8월까지 보고된 전자금융사고 및 침해사고 2,189건 중 사고 발생 후 한 달이 지나서야 인지한 건수가 43개사, 총 91건에 달했다. 1년 넘게 방치된 사고도 17건에 이르렀다.
가장 장기간 방치된 사례는 롯데손해보험으로, 2023년 11월 발생한 프로그램 오류를 무려 902일이 지난 2026년 4월에야 파악했다. 인터넷전문은행인 토스뱅크 역시 프로그램 오류를 670일 동안 인지하지 못했다.
이어 AIA생명(621일), 하나은행(507일), 신한은행(471일) 순으로 장기 지연 사례가 이어졌다. 하나은행과 티머니의 경우 늑장 대응 탓에 피해가 누적되어 수천 명의 고객에게 수백만 원대의 배상금을 지급하는 사태로 번졌다.
외부 공격에 의한 침해사고 역시 예외는 아니었다. 결제대행업체(PG) 엑심베이는 정보유출 사고를 309일 만에 알아차렸고, iM뱅크(178일)와 롯데카드(19일)도 악성코드 및 취약점 공격에 무방비로 노출된 뒤 한참 지나서야 사태를 수습했다. 30일 이상 지연 인지 건수 기준으로는 토스뱅크가 9건으로 최다를 기록했고 수협은행·KB국민은행(각 7건), 우리은행·신한은행·카카오뱅크(각 5건)가 뒤를 이었다.
이번에 드러난 지연 인지 사고의 89%(81건)는 내부 ‘프로그램 오류’에서 비롯됐다. 악성코드나 디도스 같은 외부 공격 차단에만 집중하느라 시스템 내부 로직 결함이나 배포 오류를 조기에 걸러내는 데이터 정합성 검증 체계는 후순위로 밀려나 있었다는 방증이다.
금융권 관계자는 복잡해진 전산 환경을 현실적인 한계로 들었다.
한 시중은행 전산 담당자는 “대규모 차세대 시스템 도입과 잦은 비대면 서비스 업데이트로 코드 간 상호작용이 극도로 복잡해졌다”며 “서비스 전체가 다운되는 장애가 아니라 특정 조건에서만 간헐적으로 발생하는 데이터 누락이나 금액 오계산은 고객 민원이 직접 접수되기 전까지 내부 이상 징후 감지만으로 잡아내기 어려운 한계가 있다”고 토로했다.
반면 정보보안 전문가들은 금융권의 ‘안이한 사후약방문식 운영’을 꼬집었다.
한 정보보안 전문가는 “외부 침입 탐지(IDS/IPS)뿐 아니라 배포 후 데이터 무결성을 실시간 검증하는 자동화 모니터링을 갖추는 것은 금융 시스템의 기본”이라며 “침해사고와 프로그램 오류를 수백 일 동안 인지하지 못했다는 것은 접근 통제 감사 로그나 데이터베이스 변동 추적 체계가 사실상 작동하지 않았음을 보여주는 명백한 관리 소홀”이라고 지적했다.
김형연 의원은 “소비자에게는 온갖 보안 프로그램 설치와 복잡한 인증 절차를 요구하면서, 정작 금융사 스스로는 수백 일 동안 사고를 방치했다는 것은 금융 시스템의 신뢰를 뿌리부터 흔드는 일”이라며 “사고를 늦게 인지할수록 피해 확산을 막을 골든타임을 놓치게 되는 만큼, 이번 국정감사에서 금융권의 내부 모니터링 시스템 실태와 금융당국의 감독 태만을 집중적으로 따져 묻겠다”고 강조했다.
댓글
(0)