신한, 정보보호 6년 연속 100점에도 고객 약 2만5000명 정보 유출
BNK, 내부통제 조직 신설...부산은행은 외주직원 정보 노출·검증 미흡 인정
신한은행에서 고객 약 2만5000명의 개인·신용정보가 유출됐다. BNK부산은행에서는 외주 개발직원 11명의 개인정보가 노출됐다. 신한은 고객의 연소득과 대출 산출한도까지 빠져나갔고, 부산은행은 일부 웹페이지의 검증이 충분하지 않았다고 밝혔다.
진옥동 신한금융 회장과 빈대인 BNK금융 회장은 사고에 앞서 고객 신뢰와 내부통제를 경영 과제로 제시한 바 있다. 진 회장은 지난달 그룹 창립 기념행사에서 내부통제의 중요성을 강조했다. 빈 회장은 연초 정보유출 한 번도 그룹 전체의 신뢰를 훼손할 수 있다고 경고했다.
두 지주는 내부통제를 경영진 평가와 그룹 관리체계에도 반영해왔다. 신한은 회장 성과급 산정 근거에 내부통제·소비자보호 강화를 포함했고, BNK는 올해 그룹소비자보호·내부통제부문을 신설했다.
왼쪽은 빈대인 BNK금융그룹 회장, 오른쪽은 진옥동 신한금융그룹 회장 / 기사의 이해를 돕기 위해 AI로 생성된 이미지, 뉴스1
신한, 고객 신뢰 강조 한 달 뒤 정보 유출
6일 금융권에 따르면 신한은행은 지난 1일 대출모집 관련 조회 서비스를 통해 고객 약 2만5000명의 정보가 유출됐다고 밝혔다. 유출 항목에는 고객명과 전화번호뿐 아니라 연소득, 대출 산출한도 등 개인·신용정보가 포함됐다.
신한은행이 올해 반기보고서에 제시한 정보보호 평가 결과는 최고등급이었다. 금융위원회 주관 '개인신용정보 관리 및 보호 실태 점검'에서 6년 연속 S등급인 100점을 받았다고 기재했다. 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P), 국제표준 정보보호 인증(ISO27001) 등도 확보했다고 밝혔다.
지주에서도 신뢰를 앞세웠다. 진 회장은 지난 9월 1일 신한금융 창립 25주년 행사에서 금융의 방식이 바뀌어도 금융회사는 결국 고객의 신뢰로 평가받는다고 강조했다. 그룹사 최고경영자(CEO)와 지주 임직원들이 참석한 자리였다.
진 회장은 고객이 신뢰할 수 있는 인공지능(AI)을 설계하는 역량을 강조하면서 내부통제도 함께 언급했다. 내부통제와 수익성, 시장지위, 고객기반, 조직문화, AI 전환 등이 제 역할을 해야 한다고 주문했다.
약 한 달 뒤 신한은행은 정보유출을 확인하고 관련 서비스를 중단했다. 외부 IP 차단과 보안정책 신규 적용 등 긴급조치를 진행했다. 정상혁 신한은행장은 개인정보 보호체계를 원점에서 재점검하고, 이번 사고로 고객에게 실제 손해가 발생하면 전액 보상하겠다고 밝혔다.
내부통제는 진 회장과 정 행장의 보수 평가에도 등장한다. 국민일보가 보도한 올해 1분기 상여는 진 회장 5억원, 정 행장 4억원이다. 진 회장의 산정 근거에는 내부통제·소비자보호 강화가, 정 행장에게는 신뢰 확립을 위한 내부통제가 포함됐다. 모두 지난해 성과에 대한 보수로, 이번 사고가 발생하기 전에 지급됐다.
기사의 이해를 돕기 위한 자료 사진 / 사진=인사이트
BNK, 지주 이사회까지 보고한 내부통제...부산은행서 검증 공백
BNK금융은 내부통제 사각지대를 줄이겠다며 올해 조직을 바꿨다. 지난 1월 5일 그룹소비자보호·내부통제부문 신설을 발표하면서 상품 개발부터 판매, 사후관리까지 점검과 개선을 통합하고 사고 예방 중심의 관리체계를 정착시키겠다고 밝혔다.
빈 회장은 사흘 전 신년사에서 "단 한 번의 금융소비자 피해나 정보유출, 내부통제 실패도 그룹 전체의 신뢰 훼손으로 연결될 수 있다"고 말했다. 사이버 위협에 대비한 정보보호 역량을 갖추고 업무 기준과 절차를 다시 점검하라고 주문했다.
부산은행은 지난 1일 오후 9시께 외부의 웹서버 공격 시도가 있었다고 밝혔다. 주요 공격은 차단했지만 후속 점검에서 외주 개발직원 11명의 개인정보가 일부 웹페이지를 통해 노출된 정황을 확인했다.
부산은행은 일부 웹페이지에서 세션 검증이 충분하지 않았다고 밝혔다. 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일 주소가 노출됐으며 고객정보 유출은 없었다고 설명했다. 은행은 해당 페이지를 차단하고 금융당국에 신고했다. 외부에 공개된 웹페이지도 전수조사한다고 밝혔다.
그룹 차원의 정보 관리 점검은 사고 이전부터 이사회에 보고돼왔다.
기사의 이해를 돕기 위한 자료 사진 / 뉴스1
BNK금융의 올해 주주총회 소집공고에 따르면 지난해 이사회 보고 안건에는 '그룹 고객정보 관리업무 점검 결과'와 '대표이사 내부통제 등 총괄관리의무 이행 결과'가 포함됐다. 소집공고에는 두 안건의 보고 사실이 기재됐지만, 구체적인 점검 결과와 개선 요구 내용은 담기지 않았다.
한편 우리은행과 NH농협은행도 이번에 외부 해킹 공격을 받았지만 이상 징후를 탐지해 차단했다. 두 은행에서는 고객정보 유출 피해가 확인되지 않았다.