[서울=뉴스핌] 박가연 기자 = 4대 은행이 해킹 피해를 입은 전산시스템에 의무 보안점검을 받을지 여부를 자체 판단해온 것으로 알려졌다. 구체적인 법적 기준이 없다보니 비슷한 업무를 하는 시스템도 은행마다 제각각 관리를 달리 했고, 실제로 해킹 피해를 입은 일부 은행의 시스템은 점검 대상에서 빠져 있었다. 

금융당국은 9일 국회 정무위원회 소속 김형연 조국혁신당 의원실에 제출한 서면 답변에서 해킹 피해 시스템이 법정 보안점검 대상에 해당될 가능성이 있다고 하면서도 이를 구분하는 구체적인 기준이 법령에 없다고 인정했다. 

금융위는 이 답변에서 신한·KB국민·하나·부산은행의 해킹 사고 시스템에 대해 전자금융거래법상 전자금융기반시설에 "해당할 가능성이 낮다고 보기에는 어렵다"는 의견을 밝혔다. 

금융위는 사고 시스템들이 전산원장과 연계돼 대출 내역과 고객정보 등을 조회하고, 전자금융거래를 수행·지원하는 시스템과 정보통신망으로 연결된 점 등을 근거로 "금융상품·서비스의 제공·이용 과정과의 관련성을 판단할 수 있는 구체적인 기준은 법령·규정에 명시돼 있지 않다"고 했다.

금융위는 "최종 판단은 실제 기능·이용주체·처리정보·금융상품·서비스와의 관계, 다른 시스템과의 연계관계 및 실제 업무처리 절차 등 개별적인 사안에서 구체적인 사실관계를 종합해 이뤄져야 할 것으로 보인다"고 설명했다.

◆ 은행 자체 판단에 법정 점검 제외…해킹 피해 시스템도 포함

전자금융거래법에 따라 금융회사는 전자금융기반시설의 취약점을 정기적으로 분석·평가해야 한다. 다만 어떤 업무지원시스템을 점검 대상에 포함할지는 은행들이 실제 기능과 금융거래 연관성 등을 고려해 자체 분류해왔다.

신한은행은 해킹 피해를 입은 대출모집인 업무지원시스템 'M신한'을 전자금융기반시설로 분류해 법정 평가를 실시했다. 우리은행도 대출모집인 등이 이용하는 외부 영업지원시스템(ODS)을 법정 평가 대상에 포함하고 있으며, KB국민은행 역시 태블릿PC 기반 대출상담사 전용 시스템을 같은 방식으로 관리하고 있다.

반면 해킹 피해가 발생한 국민은행의 직원용 모바일 업무지원시스템과 하나은행의 영업지원시스템은 법정 평가에서 제외됐다. 은행 측은 해당 시스템이 직접 금융거래를 처리하지 않는 점 등을 고려해 법정 평가 대상에 포함하지 않았으며, 별도의 자체 보안점검을 실시해왔다고 설명했다.

금융감독원은 김 의원실에 제출한 답변에서 "이번 해킹 사고는 취약점 분석·평가 여부가 모호한 업무지원 시스템 등에서 발생했거나, 취약점 분석·평가 대상이었음에도 취약점을 발견·보완하지 못해 발생한 측면이 있다"고 밝혔다.

◆ 업무지원시스템 법적 분류 쟁점…수사 관할까지 혼선

전자금융기반시설의 범위에 대한 해석은 과거에도 혼선을 빚었다. 금융위는 2015년 전자금융거래에 이용되지 않는 단순 홈페이지는 점검 대상에서 제외될 수 있다고 설명한 반면, 2020년에는 직접 송금·이체를 하지 않는 스마트뱅킹 최초 비밀번호 등록 시스템도 해당 시설로 판단했다.

이처럼 시스템의 기능과 금융거래 연관성에 따라 법적 분류가 달라질 수 있는 가운데, 이번 금융권 해킹 사건에서는 피해 시스템의 전자금융기반시설 해당 여부가 수사 관할을 둘러싼 쟁점으로 떠오르기도 했다.

경찰은 지난달 1일 은행권 해킹 사건에 대한 입건 전 조사에 착수한 뒤 금융위에 피해 시스템의 전자금융기반시설 해당 여부를 질의했다. 금융위가 해당 가능성이 있다는 취지로 답변했으며 경찰은 전자금융거래법 위반 혐의 등을 포함해 21일 중대범죄수사청(중수청)에 사건을 통보했다.

그러나 중수청은 23일 경찰이 이미 접속기록을 분석하고 미국 연방수사국(FBI)에 공조를 요청하는 등 조사를 진행한 점을 고려해 직접 수사하지 않기로 결정했다.

경찰의 입건 전 조사 착수부터 중수청의 수사 불개시 결정까지 약 3주가 소요되면서 수사기관 간 '사건 핑퐁' 논란과 수사 지연 우려도 제기됐다. 경찰의 사건 통보는 수사 권한과 기록을 넘기는 정식 이첩과는 다른 절차지만, 관할 판단 과정에서 초동수사가 불필요하게 지연될 수 있다는 지적은 여전하다.

금융위 관계자는 경찰과 국회에 전달한 답변에 대해 "문구나 표현에 다소 차이가 있을 뿐 취지는 동일하다"며 "같은 은행의 시스템이라고 해서 모두 전자금융기반시설에 해당하는 것은 아니며 개별적인 판단이 필요하다"고 설명했다.

금융위는 은행의 자체 분류가 최종적인 법적 판단을 의미하지는 않는다는 입장이다. 실제 조사에서 시스템의 기능과 취급 정보 등이 전자금융거래와 밀접하게 연관된 것으로 확인되면 기존 분류와 다른 판단이 내려질 수 있다는 취지다.

◆ 외부접점 점검 확대…비대면 금융 확산에 기준 정비 과제

은행권의 비대면 전환으로 금융거래를 지원하는 전산시스템의 중요성도 커지고 있다. 은행연합회에 따르면 국내 17개 은행의 점포 수는 2023년 말 5744곳에서 올해 6월 말 5522곳으로 222곳 감소했다.

금융위는 지난 5일 발표한 '전 금융권 보안체계 혁신방안'에서 전자금융거래와 직간접적으로 관련된 모든 외부접점을 취약점 분석·평가 대상에 포함하겠다고 밝혔다. 대형 금융회사부터 평가 주기를 연 2회로 늘리고 2028년 전 금융권으로 확대할 계획이다. 약 580개 금융회사의 외부접점과 내부통제 체계도 연말까지 전수점검한다.

다만 점검 범위 확대와 별개로 개별 업무지원시스템의 법적 분류 기준을 구체화할 필요성도 남아 있다. 금융거래와의 연계 정도와 처리정보 등을 토대로 법정 평가 대상 여부를 판단하고, 은행별 자체 분류의 적정성을 검증해 보안점검 사각지대를 줄이는 것이 과제로 꼽힌다.

김형연 의원은 "해커는 언제 어디로 들어올지 미리 예고하지 않는다"며 "바깥에서 들어오는 통로는 줄이고, 남은 통로는 모두 점검해야 한다"고 말했다.

eoyn2@newspim.com