유출 119명이 24일 뒤 2210명, 법은 언제 알리라 하나

KB국민은행이 이달 2일 처음 밝힌 해킹 유출 인원은 119명이었다. 24일 뒤인 26일, 은행은 같은 사고에서 2091명이 더 확인됐다고 밝혔다. 늘어난 고객 1631명의 유출 항목에는 연소득과 예금잔액, 대출 거래내역도 들어 있다. 유출 범위가 이렇게 바뀌는 동안, 고객에게 알리라는 법의 시한은 어떻게 돌아가나.

보험업권에서도 유출 사고가 확인됐다. 미래에셋생명은 26일 고객 신용정보가 빠져나갔다고 밝혔다. 보험업권에서 해킹 유출이 당국에 신고된 첫 사례다. 금융위원회는 14일 침해사고가 확인된 금융회사를 16곳으로 집계했다. 금융위는 이 수가 "더 확대될 수 있다"고 적었다.

국민은행의 2일 발표는 범위가 좁았다. 직원용 모바일 업무지원시스템이 뚫렸고, 인터넷뱅킹 같은 금융거래와는 "전혀 관련이 없는" 시스템이라고 했다. 유출 정보는 이름, 전화번호, 주소, 암호화된 주민등록번호 등이었다. 은행은 9월 30일 밤 유출 가능성을 알았다고 했다. 2일 발표 때는 119명에게 이미 개별 안내를 했다고 밝혔다.

그러나 26일 발표에서는 사람도 항목도 늘었다. 추가 인원은 고객 1631명과 전·현직 임직원 460명이다. 고객 항목에는 계좌번호, 신용등급, 신용카드 연체원금도 있다. 모두 2일 발표에는 열거되지 않았던 금융정보다.

은행의 설명은 이렇다. 새 공격이 아니라 같은 사고가 난 시스템의 데이터와 처리 과정을 다시 검증해 찾았다는 것이다. 은행은 감독당국과 조사 결과를 교차 검증해 왔다고 했다. 또 대부분 고객의 유출 항목은 4개 수준이라고 했다. 은행은 "초기에 완벽하게 파악하지 못한 점"을 사과했다.

추가 유출을 찾은 경위에는 금융감독원 쪽 설명도 있다. 뉴시스에 따르면 금감원은 KB금융 정기검사 과정에서 추가 유출을 확인했다. 검사는 9월 7일 시작해 10월 23일 끝날 예정이었으나 연장됐다. 금감원 관계자는 "은행 측에서 당시 다 확인하지 못했던 것"이라고 말했다.

개인정보보호법은 범위가 확정될 때까지 기다리라고 하지 않는다. 시행령 제39조는 유출을 알게 되면 72시간 안에 알리게 한다. 접속 차단 같은 긴급 조치가 필요하면 그 사유가 풀린 뒤 즉시 알릴 수 있다. 또 항목이나 경위를 다 모르면 확인된 내용부터 알리고, 나머지는 "확인되는 즉시" 알려야 한다. 더구나 9월 11일부터는 유출 '가능성'도 72시간 안에 알려야 한다. 가령 불법 접근으로 유출이 의심되지만 누구의 정보인지 특정하기 어려운 경우다.

그러나 금융회사의 개인신용정보가 새면 신용정보법 제39조의4가 따로 통지 규정을 둔다. 이 조항은 누설을 "알게 된 때에는 지체 없이" 알리라고 쓴다. 이 법과 시행령에 72시간이라는 숫자나 '가능성' 통지 조항은 없다. 홈페이지 등에 널리 알리는 의무는 1만 명 이상 유출될 때 생긴다. 아이뉴스24는 이번 사고에 어느 법이 어디까지 적용될지는 당국 조사 결과에 달렸다고 전했다.

물론 두 법 모두 통지 의무는 회사가 '알게 된 때'부터 생긴다. 국민은행이 처음 안 시점은 국정감사에서도 쟁점이 됐다. 김재섭 국민의힘 의원 자료에 따르면 국민은행은 첫 공격 뒤 67시간 41분이 지나 사고를 인지했다. 이환주 국민은행장은 "신속하게 차단하고 대응하지 못한 점에 대해서는 아쉬움이 많이 남는다"고 답했다.

미래에셋생명은 유출 대상과 항목을 파악하는 중에 공지부터 했다. 회사는 25일 이상 증상을 알았고, 26일 새벽 유출을 확인해 그날 홈페이지에 알렸다. 회사는 대상이 확인되는 대로 고객별로 안내할 계획이라고 했다.

금융위원회가 14일 내놓은 대책은 보안 점검에 맞춰져 있다. 보안체계 전수점검, 위협정보 공유, 취약점 점검의 주기 확대, 중소형사 지원이 네 과제다. 같은 자료는 유출 사실과 대응요령 안내를 관리·감독한다고 적었다. 그러나 고객에게 알리는 시점을 다룬 과제는 네 과제 안에 없다.

금융당국이 답할 물음은 두 가지다. 국민은행은 추가 2091명을 언제 처음 알았고, 그 뒤 며칠 만에 알렸나? 9월 11일 시행된 '가능성 통지'는 은행 고객의 신용정보에도 적용되나? 금감원의 국민은행 검사와 미래에셋생명 현장점검은 아직 진행 중이다. 당국이 6일 정한 2차 피해 특별대응기간은 1개월이고, 연장할 수 있다.

법의 통지 시한은 은행이 언제 무엇을 알았는지에서 출발한다. 그 날짜가 나오기 전까지 119명과 2210명 사이의 24일은 평가할 수 없다.