은행은 해킹당하고, 피해 책임은 고객이 지는가[기고]

황석진 동국대 국제정보보호대학원 교수 등록 2026-10-28 오전 11:00:06 수정 2026-10-28 오전 11:00:06 가 가 [황석진 동국대 국제정보보호대학원 교수] 최근 금융권에서 잇따라 발생한 해킹과 개인정보 유출 사고는 금융회사의 보안 책임에 근본적인 질문을 던지고 있다. 특히 은행의 인증체계와 외부 연계 시스템의 취약점을 이용한 공격으로 고객정보가 유출되는 상황에서, 보이스피싱 피해를 금융소비자 개인의 부주의로만 돌리는 기존 책임 구조가 타당한지 되짚어볼 필요가 있다. 은행권은 2024년부터 비대면 금융사고에 대한 자율배상제도를 시행하고 있다. 금융회사의 사고 예방 노력과 소비자의 과실 정도를 고려해 피해액의 전부 또는 일부를 배상하는 방식이다. 금융사고의 책임을 소비자에게만 부담시키던 관행에서 벗어났다는 점에서는 의미가 있다. 그러나 배상 대상이 제한적이고 피해구제 실적도 저조하다는 비판이 이어지고 있다. 특히 피해자가 범죄자에게 속아 직접 송금한 보이스피싱은 원칙적으로 배상 대상에서 제외돼 제도의 실효성에 의문이 제기된다. 이번 금융권 해킹 사태는 이러한 한계를 더욱 분명하게 보여준다. 과거 보이스피싱은 무작위 전화나 문자메시지를 통해 금융정보를 탈취하는 방식이 중심이었다. 그러나 최근에는 금융회사와 외부 연계 시스템의 취약점을 이용해 확보한 개인정보가 정교한 금융사기에 악용될 위험이 커지고 있다. 특히 유출된 개인정보가 대출정보나 금융거래정보와 결합되면 범죄자는 금융기관 직원 등을 사칭해 피해자의 신뢰를 얻기 쉬워진다. (사진=챗GPT)문제는 피해자가 직접 송금했다는 이유만으로 금융회사의 책임을 배제할 수 있느냐는 것이다. 금융회사의 보안관리 부실로 고객정보가 유출되고 보이스피싱에 악용됐다면 송금행위만으로 책임을 판단하는 것은 합리적이지 않다. 물론 정보유출과 피해 발생 사이의 인과관계, 금융회사의 과실 여부 등을 확인해야 하지만, 정보보호 책임과 보이스피싱 피해구제를 별개로 취급하는 접근은 재검토할 필요가 있다. 최근 금융당국의 점검에서 다수 금융회사의 보안관리 미흡 사항이 확인됐다는 점도 주목해야 한다. 금융회사는 보안 인증과 내부통제 기준을 준수했다고 강조하지만, 보안체계를 갖췄다는 것과 실제 공격을 방어할 수 있다는 것은 다르다. 이상거래탐지시스템(FDS)을 운영하더라도 비정상적인 거래를 식별하지 못하거나 위험 징후에 대응하지 못했다면 실질적인 예방조치가 이뤄졌다고 보기 어렵다....