297만명 샌 롯데카드도 과징금 50억…미래에셋증권 해킹 대표 책임은

미래에셋증권은 7일 외부 공격으로 고객 3800여명의 계좌번호가 빠져나갔다고 밝혔다. 퇴직자와 외주직원을 포함한 임직원 3만5255명의 이름과 사번 등도 함께 나갔다. 이로써 미래에셋그룹에서 외부 공격을 받은 계열사는 네 곳이 됐다. 나흘 전 이찬진 금융감독원장은 대형 증권사와 보험사가 해킹을 당하면 최고경영자(CEO) 책임을 묻겠다고 했다. 증권 계좌를 가진 사람에게는 회사가 뚫렸을 때 누가 어떤 책임을 지는지가 걸린 일이다. 법은 해킹당한 증권사의 CEO에게 무엇을 물을 수 있나.

미래에셋그룹의 사고는 열흘 남짓 사이에 이어졌다. 10월 26일 미래에셋생명에서 고객 정보가 샜고, 피해자는 약 6800명으로 전해진다. 자산운용 계열사 두 곳에서는 10월 28일과 11월 2일 외부 침투 시도가 파악됐다. 미래에셋증권은 4일과 5일 모바일웹 로그인 서비스와 사내 업무 시스템을 공격받았다.

이 원장의 말은 3일 임원회의에서 나왔다. 비즈워치에 따르면 그는 "종합금융투자사업자, 보험사 등 대형금융회사는 은행권과 동일하게" CEO 등 경영진의 책임까지 묻겠다고 말했다. 은행권에서는 해킹을 두고 은행장 책임을 따지는 검사가 진행 중이다. 금감원은 사고 회사가 당국의 보안 유의사항을 이행했는지도 살핀다.

근거는 금융회사지배구조법의 책무구조도다. 책무구조도는 내부통제 책임을 임원마다 나눠 적은 문서다. 대표이사가 마련하고 이사회 의결을 거쳐 회사가 금융위원회에 낸다. 법은 대표이사를 내부통제의 "최종적인 책임자"로 정하고, 임원들이 맡은 관리의무를 다하는지 점검하게 한다.

이 제도는 증권사에 이미 적용되고 있다. 2024년 7월 시행된 개정법은 자산 5조 원 이상 증권사에 1년 안에 책무구조도를 내게 했다. 관리의무는 책무구조도를 낸 때부터 적용된다. 시행령이 정한 책무 목록에는 "정보보안업무"와 "개인정보 및 신용정보 등 보호업무"가 들어 있다. 자산 5조 원이 넘는 미래에셋증권도 2025년 9월 책무구조도의 임원 책무를 바꿨다고 공시했다.

대표이사 제재에서는 대표가 임원들의 관리를 "상당한 주의"로 점검했는지를 따진다. 대표이사가 관리의무를 어기면 금융위는 해임요구부터 주의까지 다섯 단계의 조치를 할 수 있다. 법은 위반이 어떻게 생겼고 결과가 어땠는지를 따지게 한다. 대표이사가 그 주의를 다했다면 금융위는 제재를 줄이거나 면제할 수 있다.

은행권에서도 해킹으로 CEO를 제재한 결론은 아직 나오지 않았다. 이 원장은 10월 19일 국정감사에서 은행 해킹을 두고 "아마 최초의 CEO에 관한 책임 문제가 다루어지는 사안"이 될 것이라고 말했다. 금감원 관계자는 "아직까지 특정 경영진의 책임 소재를 예측할 단계는 아니"라고 했다.

해킹으로 대표가 제재받은 사례로는 카드사가 있다. 뉴시스에 따르면 297만명의 정보가 샌 롯데카드의 조좌진 전 대표는 금감원 의결로 문책경고를 받았다. 문책경고는 다섯 단계 가운데 해임요구, 직무정지 다음의 세 번째 조치다.

대표 제재와 별도로 회사에 매기는 과징금은 상한이 정해져 있다. 신용정보법은 보안대책을 지키지 않아 개인신용정보가 새면 50억 원 이하의 과징금을 매기게 한다. 매출액의 3% 이하 과징금은 신용정보법에도 있다. 다만 동의 없이 정보를 넘긴 경우처럼 다른 위반에 매긴다. 롯데카드도 신용정보법 위반으로 50억 원을 부과받았다.

이번에 샌 계좌번호도 신용정보법의 개인신용정보가 될 수 있다. 신용정보법에 따르면 그 정보만으로 사람을 알아볼 수 없어도 개인신용정보일 수 있다. 다른 정보와 "쉽게 결합하여" 알아볼 수 있으면 그렇다. 미래에셋증권은 예금주명 같은 다른 정보는 나가지 않았다고 했다.

전자금융거래법의 과징금 상한도 지금은 50억 원이다. 금융위는 해킹 사고에 전체 매출액의 3%까지 물리는 개정안을 2025년 11월부터 추진했다. 이 개정안은 아직 국회를 통과하지 못했다.

당국은 다음 주 미래에셋증권에 점검반을 보낼지 검토하고 있다. 금융위는 5일 580여 개 금융회사의 외부접점과 내부통제를 12월 말까지 전수점검한다고 밝혔다. 점검에서 드러난 관리부실은 바로 고치면 "최대한 유연하게" 처리하고, 점검 이후 사고는 엄정히 책임을 묻는다.

금융당국과 회사가 답할 물음이 남아 있다. 10월 26일 미래에셋생명 사고부터 11월 4일 미래에셋증권 첫 공격까지 9일이 있었다. 그동안 미래에셋증권 대표와 정보보안 담당 임원은 무엇을 점검했나? 금융위가 엄정한 책임을 예고한 것은 전수점검 이후의 사고다. 점검 계획 발표와 같은 주에 난 이번 사고에는 어떤 기준을 적용하나? 증권사 CEO의 해킹 책임은 대표가 정보보안 임원의 관리를 제대로 점검했는지에서 갈린다. 고객 계좌번호 유출에 신용정보법 과징금을 매겨도 그 상한은 50억 원이다.