[컬럼] KB국민은행 개인정보유출, 최후의 보루 은행마져 뚫렸다....정부와 국회는 무엇을 하는가?

[조연행 /  금융소비자연맹 회장] 은행에 맡긴 것은 돈만이 아니다. 이름과 주민등록번호, 주소와 연락처, 소득과 신용정보까지 맡겼다. 금융회사는 국민의 재산과 개인정보를 함께 지키는 최후의 보루여야 한다. 그런데 그 보루마저 뚫렸다.

소비자는 이제 어디를 믿고 자신의 정보를 맡겨야 하는가. KB국민은행은 지난 10월 2일 외부 침해로 고객 119명의 개인·신용정보가 유출됐다고 밝혔다. 공개된 유출 항목에는 고객명, 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다.

은행 측은 직원용 모바일 업무지원시스템에서 발생한 사고이며, 인터넷뱅킹과 모바일뱅킹 등 고객 금융거래 시스템과는 관련이 없다고 설명했다. 유출로 고객 피해가 발생하면 전액 보상하겠다는 입장도 밝혔다.

그러나 금융거래 시스템과 별개라는 설명만으로 소비자의 불안이 해소될 수는 없다. 고객정보가 보관되고 조회되는 업무지원시스템 역시 은행이 책임지고 보호해야 할 영역이다. 고객에게는 정보가 어느 서버에서 빠져나갔는지보다 자신의 정보가 범죄에 악용될 가능성이 더 절박하다. 피해 규모를 숫자로만 바라봐서도 안 된다. 119명의 개인정보 유출은 119명의 생활과 안전에 관한 문제다.

한 사람의 정보라도 소홀히 다뤄서는 안 되는 곳이 은행이다. 금융회사가 신뢰를 바탕으로 영업하면서 정작 그 신뢰의 기초인 정보보호에 실패했다면 엄중한 비판과 책임 규명이 뒤따라야 한다. 정확한 침입 경위와 관리상 책임은 조사로 밝혀야 한다. 금융당국은 고객정보 접근 권한이 적절했는지, 비정상적인 조회와 반출을 탐지할 수 있었는지, 직원과 외부 업무관계자의 인증이 충분했는지 철저히 점검해야 한다.

은행도 조사 결과와 개선 내용을 소비자가 이해할 수 있도록 공개해야 한다. 이번 사태를 계기로 금융권의 본인확인 체계도 근본적으로 강화해야 한다. 유출된 개인정보를 알고 있다는 이유만으로 그 사람을 실제 본인으로 인정하는 구조에서는 명의도용 위험을 줄이기 어렵다.

정보를 아는 사람과 실제 권리자를 구별하는 인증 체계가 필요하다. 그 대안으로 지문인식 기반 인증을 조속히 확대해야 한다. 계좌 개설, 비대면 대출, 인증수단 재발급, 고액 이체 등 중요한 금융행위에서 지문인식과 안전한 기기 인증을 결합하는 방안을 적극 추진해야 한다. 직원과 업무관계자의 고객정보 접근에도 강력한 다중 인증을 적용해야 한다. 도입 방식도 중요하다. 지문 원본을 은행 서버에 대량으로 모으는 방식은 피해야 한다.

FIDO 기반 인증처럼 지문 확인은 이용자 기기 안에서 수행하고, 금융회사에는 암호학적 검증에 필요한 정보만 전달하는 방식이 가능하다. 이러한 방식에서는 생체정보가 기기 밖으로 전달되지 않는다. 물론 지문인식 하나로 모든 정보 유출을 막을 수는 없다.

최초 신원확인과 인증수단 등록이 부실하면 강력한 인증도 제 역할을 하기 어렵다. 지문 이용이 어려운 소비자에게는 동등한 수준의 대체 수단을 제공해야 한다. 지문인식 기반 인증 강화와 함께 서버 보안, 접근 권한 제한, 대량 조회 차단, 이상행위 감시를 동시에 추진해야 한다. 사고 이후의 피해구제 체계도 바꿔야 한다. “피해가 발생하면 보상하겠다”는 약속은 구체적인 절차와 기준으로 뒷받침돼야 한다.

소비자가 정보 유출과 후속 피해의 관계를 혼자 입증하느라 다시 고통받는다면 책임 있는 보상이라고 할 수 없다. 예방 지원과 상담, 피해 조사와 배상이 하나의 체계로 작동해야 한다.

이를 위해 국회와 정부는 집단소송제도, 징벌적 손해배상제도, 입증책임 전환이라는 ‘소비자권익 3법’의 도입과 강화를 서둘러야 한다. 일부 분야의 제한된 제도를 넘어, 반복되는 대규모 소비자 피해를 실질적으로 구제할 수 있도록 적용 범위와 실효성을 높여야 한다.

집단소송제도는 같은 사고를 당한 소비자들이 각자 소송 비용과 시간을 감당해야 하는 장벽을 낮춰야 한다.

징벌적 손해배상은 고의나 중대한 과실로 피해를 초래한 기업에 충분한 책임을 물어, 보안투자를 줄이는 선택이 경제적으로 이익이 되지 않도록 해야 한다.

입증책임 전환은 내부 자료를 보유한 기업이 자신의 보호조치와 책임 여부를 설명하도록 설계해야 한다. 정부에 내는 과징금과 피해자에게 돌아가는 배상은 다르다.

과징금을 높이는 것만으로 소비자의 손해가 회복되지는 않는다. 제재와 피해구제가 함께 강화돼야 기업의 행동도 바뀐다.

은행은 고객에게 비밀번호를 잘 관리하라고 요구한다. 그렇다면 은행 스스로는 고객정보를 얼마나 철저히 관리했는지 답해야 한다. 디지털 금융의 편리함과 수익을 누리는 금융회사가 그 위험까지 소비자에게 떠넘겨서는 안 된다.

KB국민은행의 정보 유출을 또 한 번의 사과와 재발 방지 약속으로 끝내서는 안 된다. 금융권은 지문인식 기반의 안전한 본인확인 체계를 확대하고, 국회는 소비자권익 3법을 서둘러 제도화해야 한다. 국민의 개인정보와 재산을 지키는 일은 금융회사의 가장 기본적인 의무다.(끝)