카드사 고객정보 유출 이후...금융당국 ‘잰걸음’

금융위·금감원, 해당 카드사 고객정보 관리·감독 실태조사 착수

[보안뉴스 김태형] 1월 8일 발표된 국내 카드사의 고객정보 유출규모가 1억건이 넘는 것으로 검찰 수사결과 드러나면서 금융위원회와 금융감독원은 사고의 원인파악과 향후 대응방안 마련에 분주한 모습을 보이고 있다.

이번 사고에 대해 금융위와 금감원은 사고발생 원인을 신속히 진단하고 재발 방지 및 피해확산 차단에 주력할 계획이라고 밝혔다.

이를 위해 해당 신용카드업자에 대해서는 즉각적인 검사와 제재 조치가 취해질 전망이다.

우선 사고가 발생한 3개 신용카드업자에 대해서는 개인정보 유출경로 등이 파악되는 즉시 금감원이 현장 검사를 실시할 예정이다.

이를 통해 금감원은 정보가 유출될 때까지 금융회사의 정보보호, 내부통제 장치가 제대로 관리·운용되고 있었는지 집중적으로 조사할 계획이다.

기존의 금융회사 사고가 제3자의 해킹이나 내부직원에 의한 정보유출이었다면 이번 사건은 협력회사 직원이 의도적으로 정보를 유출했다는 점이 특징. 이에 금감원 검사에서 드러난 위법사항에 대해서는 ‘일벌백계’ 차원에서 관련 법규에 따라 엄중 제재 조치가 불가피할 것으로 보인다.

권한 없는 자가 무단으로 정보를 유출하는 등 금융회사의 관리·운용상 취약점이 드러날 경우 ‘전자금융거래법’ 위반 등으로 신용카드업자에 대해서는 영업정지, 임·직원은 해임권고 등 중징계도 가능하다(전자금융거래법: 전자금융거래의 안전성 확보 의무(§21), 전자금융감독규정: 업무자별 단말기 접근권한(§12) 및 전산자료 보호대책(§13) 등).

특히, 금융당국은 최고관리자가 전산자료 보호 등 금융거래의 안전성 의무를 다했는지에 대해서도 철저히 따져 책임을 물을 계획이다. 금융기관 검사 및 제재에 관한 규정 시행세칙에 따르면 IT사고 등으로 금융회사의 건전경영 및 이용자의 권익을 심하게 해치는 등 사회적 문제를 야기시킨 경우, 경영진 등 감독자에 대해서는 행위자와 동일한 수준의 제재 부과가 가능하다.

또한 금융위는 사고가 발생하지 않은 금융회사에 대해서도 고객정보 유출 방지대책 및 고객정보 관리의 적정성 실태를 전면 점검한다는 계획이다. 이에 금감원은 1월 중으로 금융회사 자체 점검 체크리스트를 마련해 금융회사별로 내부직원·외부 용역직원의 정보 접근권한 부여 현황 및 정기적으로 동 부여 권한의 적정성 점검 여부 등을 자체 점검토록 하고 그 결과 및 미비점에서 대해서는 보완계획을 제출하도록 했다.

이를 토대로 금감원은 자체 점검 결과를 검토하고 취약하거나 미흡한 금융회사에 대해서는 추가 현장 점검 실시 및 보완을 유도해 나갈 방침이다.

유출 정보에 대한 추가 피해 확산 차단에 중점

또한 금감원은 유출정보에 대한 추가 피해 확산 방지에 중점을 두고 사고가 발생한 신용카드업자는 회원에게 고객정보 유출 항목, 유출 시점 및 경위, 피해방지 최소화 대책(카드 재발급 등) 등을 서면, 이메일, 문자 등으로 개별 고지하고 자사 홈페이지 등에도 게재하도록 했다. 여기에는 보이스피싱, 대출사기, 불법사금융 등 우려되는 추가 피해 예방을 위한 유의사항도 함께 안내하도록 했다.

아울러 금감원에 ‘정보유출 감시센터’를 설치·운영해 유출된 정보의 불법유통 사례를 접수받고 접수된 사례는 확인 후 수사기관에 통보하는 한편, 정보유출 관련 금융회사에 대해 신속한 조치를 지도해 피해 확산을 억제한다는 방침이다.

특히 금감원은 불법으로 유출된 정보를 추가로 이용하거나 매매한 제3자 역시 형사처벌이 가능한 만큼, 유출 정황을 인지한 즉시 수사기관에 통보해 피해 예방에 주력할 예정이다.

신용정보 등을 부당하게 유출한 자와 이 정보를 넘겨받은 자는 ‘신용정보보호법’, ‘전자금융거래법’ 등 관련 법령에 따라 5년 이하(전자금융거래 정보는 7년 이하)의 징역 또는 5천만원 이하의 벌금형이 가능하다.

그리고 금감원은 재발방지를 위해서 정보보호관련 기관과 협력해 ‘개인정보보호 강화 종합대책’을 마련·추진한다. 이에 최근 발생한 개인정보 유출사고의 주요 유형 및 취약점을 분석하고, 필요 시에는 개인정보 유출관련 제재범위 및 수준의 상향조정 방안을 검토하기로 했다.

이에 따라 개인정보 접근·취급과 관련한 내부통제시스템 및 보안대책 전반에 관한 제도개선 사항은 물론 정보기술관련 ‘업무처리 위탁’이 증가함에 따라 제기되는 관련 위험요소 및 대응방안에 대해 집중 검토가 이루어질 것으로 보인다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)