시스템 외부 공격 방어뿐 아니라 내부 프로그램 검증 및 모니터링 시스템 전반에 구조적 허점이 드러났다는 지적이 나온다.
19일 국회 정무위원회 소속 김형연 의원(사진)이 금융감독원으로부터 제출받은 자료에 따르면, 2022년부터 2026년 8월까지 금감원에 보고된 전자금융사고 및 침해사고 총 2,189건 중 사고 발생일로부터 인지까지 30일 이상 걸린 사례는 43개사, 총 91건에 달했다. 이 중 1년 넘게 파악하지 못한 사고도 17건이나 됐다.
업권별로는 은행·보험 등 금융회사 32곳에서 75건, 간편결제 및 결제대행(PG)을 다루는 전자금융업자 11곳에서 16건의 '지각 인지'가 발생했다.
최장 902일 만에 파악… 배상액 발생 등 피해도
사고 발생 후 가장 늦게 사태를 파악한 곳은 롯데손해보험이었다. 2023년 11월 1일 발생한 프로그램 오류를 무려 902일이 지난 2026년 4월 21일에야 인지했다.
인터넷전문은행인 토스뱅크 역시 2022년 5월 발생한 오류를 670일이 지난 2024년 3월에 확인했다. AIA생명도 2024년 11월 발생한 오류를 621일 뒤에야 알아차렸다.
시중은행의 실태도 다르지 않았다. 하나은행은 2025년 4월 발생한 시스템 오류를 507일 만에 발견했으며, 이 사고로 피해를 입은 고객 112명에게 714만 원을 배상했다. 신한은행은 2023년 12월 오류를 471일 만에 파악하는 등 인지까지 180일 이상 소요된 사고만 4건에 달해 5대 시중은행 중 가장 많았다.
전자금융업계에서는 티머니가 2024년 1월 발생한 오류를 428일 뒤인 2025년 3월에 인지하고, 고객 6,071명에게 727만 원을 배상한 바 있다.
외부 침해사고에 대한 대응 지연도 심각했다. 결제대행사 엑심베이는 2022년 10월 발생한 정보유출 사고를 309일 뒤인 2023년 8월에야 파악했다. iM뱅크는 보안취약점에 따른 침해사고를 178일 만에, 지난해 대규모 개인정보 유출을 겪었던 롯데카드도 악성코드 침해 사실을 사고 발생 19일 뒤에야 인지했다.
지연 인지 건수 기준으로는 토스뱅크가 9건으로 금융권 전체에서 가장 많았다. 이어 수협은행과 KB국민은행이 각 7건, 우리은행·신한은행·카카오뱅크가 각 5건 순이었다. 전자금융업자 중에서는 비바리퍼블리카와 티머니가 각 3건, 구글페이먼트코리아가 2건으로 집계됐다.
‘프로그램 오류’가 89%… 금융권 “간헐적 이상 탐지 한계” 토로
지각 인지 사고 91건 중 89%(81건)는 해킹 등 외부 침입이 아닌 시스템 내부 ‘프로그램 오류’였다.
이에 대해 한 시중은행 정보기술(IT) 부문 관계자는 “대규모 시스템 다운이나 전체 결제 마비 같은 대형 장애는 관제 센터에서 즉각 감지되지만, 특정 조건이나 일부 계좌 간 거래에서만 극히 드물게 일어나는 간헐적 로직 오류는 로그 데이터상으로 즉시 걸러내기 어려운 구조적 한계가 있다”며 “정산 과정이나 고객 민원이 직접 접수되고 나서야 백테스팅을 거쳐 원인을 역추적하는 경우가 적지 않다”고 해명했다.
또 다른 금융사 내부 관계자도 “신규 비대면 금융 서비스와 복합 결제 기능이 빠르게 늘어나면서 시스템 간 연동이 복잡해졌지만, 이를 검증할 개발·보안 전문 인력풀은 늘 부족한 상태”라며 “개발 단계의 단위 테스트를 강화하고 상시 모니터링 체계를 고도화하고 있으나 복합 로직 오류를 사전에 100% 잡아내기엔 현실적 어려움이 따른다”고 토로했다.
“소비자엔 보안 강요, 정작 금융사는 무방비”… 국감서 점검 예고
그러나 금융소비자의 신뢰를 기반으로 운영되는 금융회사가 시스템 오류를 수백 일 동안 방치한 것은 내부 통제와 사후 검증 체계의 심각한 부실을 방증한다는 비판을 피하기 어렵다. 사태 파악이 늦어질수록 잠재적 피해 범위가 넓어지고 사후 구제 역시 지연될 수밖에 없다.
김형연 의원은 “소비자들은 금융사를 믿고 금융자산과 개인정보를 맡기며, 요구받는 복잡한 인증 절차와 보안 프로그램 설치까지 성실히 따르고 있다”며 “정작 금융사가 자체 사고 발생 사실조차 수개월, 수년 동안 파악하지 못했다면 국민은 누구를 믿고 거래해야 하느냐”고 꼬집었다.
김 의원은 이어 “금융당국 대책 발표 이후에도 현장의 보안 및 모니터링 시스템이 실질적으로 개선됐는지가 핵심”이라며 “사고를 늦게 인지할수록 피해 확산을 막을 골든타임을 놓치게 되는 만큼, 이번 국정감사에서 금융권의 예방·대응 체계와 금융당국의 관리·감독 적정성을 철저히 검증할 것”이라고 강조했다.














































댓글
(0)