11년째 멈춘 신용정보 검사, 새마을금고 감독 사각지대 심각

금융당국 감독 공백 드러난 새마을금고 신용정보 관리

예금과 대출 서비스를 제공하면서도 금융당국의 직접적인 통제에서 벗어나 논란이 되어온 새마을금고의 신용정보 관리 체계에 심각한 감독 공백이 확인됐다. 신용정보법에 명시된 바에 따르면 새마을금고는 금융당국의 감독을 받아야 하는 대상임에도 불구하고, 지난 11년 동안 신용정보 관련 검사가 전혀 이루어지지 않은 것으로 드러났다.

2일 경향신문의 보도 내용을 종합하면, 금융감독원은 매년 새마을금고중앙회를 대상으로 범정부 합동 정기감사를 진행해 왔으나, 2015년 이후로는 신용정보에 대한 검사 항목을 배제해 왔다. 올해는 해킹 사건과 그로 인한 고객 신용정보 유출 문제가 사회적 쟁점으로 부상했음에도 불구하고, 이번에 시작된 정기감사에서도 금융감독원은 해킹에 따른 신용정보 관리 실태를 점검할 전문 인력을 배치하지 않았다. 지난달 19일부터 2주간 진행됐던 중앙회 대상의 긴급 현장점검 과정에서도 금융감독원의 신용정보 검사는 누락된 것으로 파악됐다.

제도적 허점 속 방치된 정보 보안 실태

현재 새마을금고의 유동성이나 건전성 문제는 금융당국의 직접 감독 영역이 아니기에, 소관 부처인 행정안전부의 요청을 받아 금융감독원이 매년 감사를 수행하고 있다. 그러나 고객의 신용정보 수집 및 관리 방식을 규율하는 금융위원회 관할의 신용정보법은 새마을금고를 감독 및 검사 대상에서 제외하지 않고 있어, 법적 규제와 실제 관리 실태 사이에 괴리가 발생하고 있다.

보통 금융권의 신용정보 관리 실태 검사는 직원의 일탈에 의한 내부통제 실패 사례나 외부 해킹 공격에 의한 유출 사고라는 두 가지 측면에서 진행된다. 설령 실제 유출 사고가 발생하지 않더라도 예방 차원에서 매년 정기적인 검사가 수행되는 것이 일반적이다. 해킹 공격에 대비한 신용정보 유출 예방 검사는 금융감독원 IT검사국이 맡고 있으나, 이들은 2015년부터 새마을금고중앙회에 대한 검사를 실시하지 않았다. 예금보험공사가 IT 부문을 검사해 왔으나, 예보 측은 공사가 예금자보호기금 관리와 부실 금고의 구조조정, IT 분야 감사 등을 지원할 뿐 신용정보법에 따른 감사는 수행하지 않는다고 설명했다. 이는 지난 11년간 외부 공격과 관련된 신용정보 관리 검사가 전무했음을 의미한다.

전문가 경고와 해킹 피해의 심각성

금융위원회 상임위원을 역임한 고려대학교 법학전문대학원 김용재 교수는 "신용정보를 취급하는 기관은 국민의 일상과 신용 질서에 거대한 영향을 미칠 수 있기에 금융기관이 아닌 곳도 법률로 규제하는 것"이라며, "새마을금고중앙회에서 발생한 해킹 사고는 금융기관의 건전성과 신뢰성 저하까지 이어질 수 있는 사안인 만큼, 법률상으로는 금감원의 검사 대상에 해당한다"고 지적했다.

앞서 새마을금고중앙회는 지난달 10일 해킹 공격을 당해 약 400명에 달하는 공제 회원들의 개인 신용정보가 유출되는 사고를 겪었다. 특히 보험료 자동이체를 위해 등록해 둔 시중은행 계좌번호가 유출된 점이 확인됐으며, 자동이체용 금고 계좌의 경우 계좌번호와 잔액 정보까지 함께 빠져나간 것으로 나타났다. 이에 대해 중앙회 측은 타행 계좌번호가 유출된 규모는 크지 않다고 밝혔다.

보험업계의 한 IT 담당자는 "정상적인 서비스 이용 중 발생하는 정보 조회 기능이 악용될 경우, 시스템이 이를 정상적인 요청과 구별하지 못해 정보가 유출될 가능성이 있다"고 분석했다. 이어 "업무 및 직원별로 고객정보와 데이터베이스에 대한 접근 권한을 얼마나 엄격히 제한했는지, 고객정보와 업무 시스템 간의 분리 및 서버 접근 통제가 적절히 수행되었는지 면밀히 살펴봐야 한다"고 강조했다.