금융사 20곳 뚫렸는데…'디지털금융안전법' 2년째 표류

금융위 2024년 제정 예고…국회 제출 못 해
과징금 담은 전금법 개정안, 소위 논의 '0회'
유출 과징금 상한 50억…12년째 그대로
피해 금융사 20곳·유출 정보 10만 건 넘어

▲새마을금고에서 해킹 공격을 받은 사실이 당국에 접수된 것으로 확인된 가운데 14일 서울 시내 한 새마을금고 지점 모습. 금융권에 따르면 새마을금고에서 고객 400명대의 이름·주소·암호화된 주민등록번호 등 일부 개인정보가 유출된 것으로 확인됐다. 해킹 공격은 지난 10일 오후 연휴기간을 틈타 이뤄졌으며 당국 신고는 이날 접수됐다. (사진=연합뉴스)

금융회사를 겨냥한 해킹이 한 달째 이어지고 있지만, 금융보안 규제를 총괄할 '디지털금융안전법'은 정부가 제정을 예고한 지 2년이 넘도록 국회 문턱을 넘지 못하고 있다.

29일 정치권에 따르면 금융위원회가 2024년 8월 '망분리(금융사 내부 전산망을 인터넷과 분리하는 규제) 개선 로드맵'에서 제정을 예고한 디지털금융안전법은 아직 국회에 제출되지 않았다. 전자금융거래법에 12개 조항뿐인 보안 규율을 별도 법으로 묶고, 법 적용을 받지 않던 법인보험대리점(GA)·가상자산거래소·대부업체까지 규율 대상에 넣는 내용이다. 이찬진 금융감독원장이 지난해 10월 정무위원회 국정감사에서 제정 추진을 밝혔고, 이억원 금융위원장도 지난해 11월 논의 착수를 알렸지만 1년이 지나도록 법안은 나오지 않았다.

국회에 올라온 보완 입법도 멈춰 있다. 해킹 등 침해사고로 정보가 유출되면 총매출액의 3% 이하 징벌적 과징금을 물리고 대표이사를 전자금융거래 안전성 확보의 최종 책임자로 명시하는 전자금융거래법 개정안은 지난해 11월 발의돼 올해 3월 정무위에 상정됐지만, 법안심사소위원회에서 논의되지 못했다.

개정안의 취지는 처벌 수위를 높여 금융회사가 스스로 보안을 강화하게 하는 것이다. 현재 금융사에서 개인신용정보가 유출되면 신용정보법에 따라 최대 50억원의 과징금이 부과된다. 이 상한은 2014년 카드 3사 정보 유출 사태 때 정해져 12년째 그대로다. 개정안대로 과징금을 매출액 기준으로 바꾸면 회사가 클수록 제재도 커진다.

정무위 전문위원 검토보고서(상임위 심사를 위해 법안을 분석한 공식 보고서)도 이 방식이 회사 규모에 맞는 실질적 제재를 가능하게 한다고 평가했다. 검토보고서는 대표이사를 최종 책임자로 명시한 조항이 경영진의 보안 의식을 높이는 데 도움이 될 것으로 봤고, 보안 관리에 대한 감독이 허술했던 점이 최근 정보 유출 사고로 이어졌다고 분석했다. 금융 보안사고에 대한 징벌적 과징금 신설은 현 정부 123대 국정과제에도 담겼다.

법이 멈춘 사이 해킹은 금융권 전반으로 번졌다. 지난달 말 은행권에서 시작된 침해사고는 이달 중순 저축은행·캐피탈·가상자산업계를 거쳐 보험·금융투자업계로 확산했고, 피해 금융회사는 20곳으로 늘었다. 25일 미래에셋생명에 이어 대신증권과 미래에셋자산운용, 가상자산거래소 빗썸에서 침해 사실이 추가로 확인됐다. 대신증권에서는 고객 3만8490명의 정보가 빠져나갔고, KB국민은행 유출 대상은 당초 119명에서 2210명으로 늘었다. 금융당국이 14일 집계한 유출 정보는 약 10만 건이다. 공격은 핵심 전산망이 아닌 외부와 연결된 약한 고리를 노렸고, 금융당국은 인공지능(AI)을 활용한 공격으로 보고 조사하고 있다. 이 원장은 금융지주 이사회에 IT 보안 강화도 주문했다.

전자금융거래법 개정안을 대표발의한 유동수 더불어민주당 의원은 발의 취지에 대해 "잇따르는 해킹 사고는 금융회사의 손실과 이용자의 재산상 피해를 넘어 금융시스템 전반에 대한 신뢰 저하를 초래하는 심각한 위협"이라며 "고도화되는 해킹 수법에 맞서 금융보안을 최우선 과제로 둬야 한다"고 말했다.