정보가 유출될 가능성이 있을시 스스로 ‘파괴’되는 스마트폰이 개발돼 관심을 끌고있다. 특히 이 스마트폰은 미국의 항공기 제작사인 보잉이 개발한 것으로 정부로부터 사용이 승인된 일부의 사람들에게만 공급된다. 최근 미 IT 전문 매체들은 “보잉이 2년 전 부터 야심차게 추진해 온 일명 ‘스파이폰’이 개발됐다”고 보도했다. 보도에 따르면 이 스마트폰의 정식 코드명은 ‘블랙’(Black)으로 미 연방통신위원회(FCC)에 제출된 ‘스파이폰’과 관련된 서류가 언론에 유출되면서 알려졌다. 현재까지 밝혀진 이 스마트폰의 가장 큰 특징은 주인이 아닌 다른 사람이 사용하거나 분해하면 폰이 작동 불능이 되거나 데이터가 자동으로 지워지도록 설계된 점이다. 따라서 현재까지 나와있는 스마트폰 중 가장 보안이 강화된 기술을 갖췄다는 것이 현지언론의 분석이다. 또한 이 스마트폰은 특이하게도 2개의 유심칩이 내장되어 있으며 안드로이드 기반에 GSM, LTE, WCDMA를 지원한다. 미 IT 전문 매체들은 “현재까지 이 스마트폰의 제원 등 알려진 정보가 거의 없다” 면서 “보안이 생명인 미 정부 부처 요원과 민간 협력업체 직원이 이 폰을 사용할 것으로 보인다”고 보도했다. 　 　 박종익 기자 pji@seoul.co.kr

서울신문은 지난주 금융감독원의 ‘금융회사 정보보호최고책임자(CISO)·최고정보책임자(CIO) 현황’ 자료를 입수해 ‘금융사 정보책임자 절반이 ‘무(無)자격’이라고 보도한 적이 있다. 자료에서 가장 눈길을 끄는 항목은 CISO·CIO의 임원 여부와 CISO 자격 충족 여부였다. 정보 보안에 대한 금융당국의 감독 부실뿐 아니라 금융사의 관리 소홀 등을 확인할 수 있는 사례여서 그렇다. 전자금융거래법상 총자산 2조원, 종업원 300명 이상인 금융사는 CISO를 임원으로 선임해야 한다. 임원이 아닌 사람을 임명하면 법 위반이다. 또 CISO 자격 충족은 법 위반 여부를 떠나 각 금융사의 보안 관리 실태가 어떠했는지를 엿볼 수 있다. 자격 미달인 CISO를 선임했다는 것은 의무적으로 자리 채우기에 치중했다는 것을 보여준다. 그러나 금감원의 해명은 ‘손바닥으로 하늘을 가리기’에 급급하다는 인상을 지울 수 없다. 금감원은 정보 보호와 정보 기술(IT) 분야 전공과 유관 경력, 소속 부서, 겸직명, 선임·퇴임일, 근무 기간, 금감원 출신 여부, 학위 취득연도, 관련 자격증 등 항목 20여개 가운데 유독 임원과 CISO 자격 충족 여부 항목만 급하게 만들다 보니 ‘팩트’(사실)가 아니라고 주장했다. 금감원이 스스로 만든 자료에 ‘하자’가 있다고 나선 꼴이다. 하지만 기자가 취재한 내용은 사뭇 달랐다. 금감원은 CISO 자격 요건을 충족하지 못한 금융사에 CISO 재선임을 요구했다. 또 금융사 측에 CISO의 전공과 경력 등을 포함한 프로필을 보고하도록 했으며, CISO의 자격 조건을 적시한 지침도 전달했다. A금융사 관계자는 “CISO가 기준 미달이니 재선임하라는 지시를 받았다”면서 “다만 3개월의 유예 기간이 있어 금감원 기준에 맞는 CISO를 찾고 있다”고 말했다. 또 “우리 CISO가 정보 보호 컨설팅에서 일한 경력이 있어 이를 금감원 측에 유권 해석을 의뢰했지만, 결국 자격 미달로 판명났다”고 털어놨다. B금융사 관계자는 “지난해 CISO의 자격 미달 지시를 받아 지난 1월 1일 CISO를 새로 선임했다”고 밝혔다. C업체 관계자는 “정보 보호 전공자는 유관 경력이 3년 이상이면 CISO 적격 판단을, 비(非)전공자는 5년 이상의 경력을 채워야만 자격을 준 것으로 알고 있다”고 설명했다. 금감원이 거짓 해명을 내놓은 배경엔 일부 금융사가 여전히 자격 미달의 CISO를 교체하지 않는 데다 카드 3사의 대규모 정보 유출로 금융당국의 허술한 관리감독이 도마에 올랐기 때문으로 분석된다. 자격 미달 CISO의 존재와 임원이 아닌 CISO는 금감원의 직무 유기로 이어질 수밖에 없다. 또 금감원이 내부용으로 만든 민감 정보가 보도된 것도 심기를 불편하게 했을 수도 있다. 그럼에도 거짓 해명은 번지수를 잘못 찾은 것이다. 지금이라도 자격 미달인 CISO를 교체하도록 지도하고, 임원이 아닌 CISO는 법에 따라 징계하는 것이 제2의 ‘카드 사태’를 막는 지름길임을 명심해야 한다. golders@seoul.co.kr

농협은행은 계열사인 농협카드의 개인정보 유출 사고로 덩달아 홍역을 치렀다. 사고 초기, 은행의 고객정보도 빠져나갔다는 오해를 샀기 때문이다. 하지만 농협은 카드 전산망과 은행 전산망이 분리돼 있어 ‘동반 유출’을 피할 수 있었다. 그럼에도 농협에는 2011년 전산망 마비라는 대형 사고의 악몽이 남아 있다. 이로 인한 고객의 불안감과 불신감 해소가 급선무라고 보고 농협은 올해 전산시스템을 대대적으로 개혁할 방침이다. 핵심은 경기 의왕시에 짓는 통합 정보기술(IT)센터다. 지상 10층, 지하 2층 규모로 기존 서울 서초구 양재동 IT센터의 4배가 넘는다. 공사비만 3200억원이다. 자체 전력 보급이 가능한 무중단 유지보수 시스템, 첨단 다중보안시스템 등을 갖췄다. 국내 은행권 최대 규모이자 최첨단 시스템이다. 2016년 상반기 완공이 목표다. 은행과 상호금융(지역 농·축협) 전산시스템도 완전 분리할 작정이다. 김주하 행장은 “내년까지 모든 영업점의 내·외부망을 분리하고 영업점별 전산기기 복구체계와 해킹 공격 차단 목적의 접속 통제시스템을 구축할 방침”이라고 밝혔다. 김 행장은 농협의 강점인 시니어 고객층을 확고히 다지고 협동조합의 네트워크를 최대한 활용해 수익 기반도 강화하겠다고 덧붙였다. 안미현 기자 hyun@seoul.co.kr

‘남북협력 업무 책임자가 정보보호최고책임자(CISO), 압구정 지점장이 최고정보책임자(CIO)….’ 전자금융거래법에 따르면 총자산 2조원, 종업원 300명 이상이면 CISO를 임원으로 지정해야 한다. CISO는 정보기술(IT)을 보호하고 관리해야 하며, 전자금융거래 사고 예방과 조치도 취해야 한다. 그러나 국내 금융사가 금융감독원에 보고한 ‘CISO·CIO의 이력서’는 한심한 수준이었다. 금감원은 자체적으로 롯데손해보험의 CISO, 하나SK카드의 CISO를 자격 미달인 것으로 보고 있다. 또 지난해 우리투자증권의 CISO와 하나생명보험의 전직 CISO 두 명 모두 자격 불충분으로 표기했다. 우리투자증권 측은 “IT 경력 부족으로 개선 지시를 받아 새 CISO를 선임했다”고 밝혔다. 특히 소형 금융사에서는 인원 부족 등의 이유로 차장급이 최고책임자였다. 한양증권과 리딩투자증권의 CISO 직위는 차장이었다. 이상진 고려대 정보보호대학원 교수는 19일 “정보 보안 책임자가 다른 직책과 달리 전문적 지식과 경력이 필요한 이유는 정보 보안 장비의 특성을 이해해야만 어떤 장비나 프로그램 등을 이용해 보안이 가능할지를 판단하고 업무를 추진할 수 있기 때문”이라고 설명했다. 또 CISO와 CIO 대부분이 다른 업무와 겸직한 것으로 조사됐다. 겸직을 하더라도 IT 업무를 같이하는 것은 양호한 편이었다. 업무 연관성이 없는 분야를 겸직하는 사례도 수두룩했다. BNP파리바카디프생명보험은 마케팅 및 운영총괄 부사장이 CISO였고 CIO는 아예 없었다. 미래에셋생명보험은 준법감시인이 CISO였고, KDB대우증권은 HR본부장이 CISO로 임명됐다. 삼성선물은 재무담당최고책임자(CFO)가 CIO였다. 업권별로 보면 겸직 비율은 보험(90.2%)이 가장 높았다. 이어 증권·선물·종금(80.8%), 은행(74.6%), 카드(60.0%) 순이었다. 재보험사인 코리안리의 CIO는 장기 자동차 보험부장을 겸임했다. KB생명의 CISO는 고객만족본부장을 맡았고, 골든브릿지투자증권의 압구정 지점장은 CISO와 CIO를 동시에 담당하고 있다. 업권별 평균 근무 기간은 1년을 겨우 웃돌았다. 평균 근무 기간이 짧다는 것은 CISO와 CIO를 잠시 머물다 가는 자리로 인식한다고 해석할 수 있다. 업무의 전문성이 떨어질 수밖에 없는 대목이다. 평균 근무 기간이 가장 짧은 업권은 은행으로 1년에 불과했다. 이어 카드(1년 5개월), 증권·선물·종금(1년 8개월), 보험(1년 11개월) 순으로 길었다. CISO와 CIO 가운데 정보 보호와 IT 관련 비(非)전공자 비율이 가장 높은 업권은 보험으로 57.8%로 집계됐다. 은행(47.8%), 증권·선물·종금(42.5%), 카드(36.0%) 순으로 비전공자 비율이 높았다. 김경두 기자 golders@seoul.co.kr 김진아 기자 jin@seoul.co.kr

국내 금융사의 정보 책임자 절반가량이 정보 보호와 정보기술(IT) 분야의 비(非)전공자인 것으로 나타났다. 관련 자격증 소지자도 전체 13.5%에 불과했고, 평균 근무 기간도 18개월에 그쳤다. 정보보호최고책임자(CISO)와 최고정보책임자(CIO) 10명 중 8명이 다른 직책들을 겸직했다. 금융사의 정보 유출 사고가 잦았던 까닭으로 CISO·CIO의 전문성 부족을 꼽아도 무리한 해석이 아닌 셈이다. 서울신문이 19일 금융감독원으로부터 단독 입수한 ‘2012년 5월 이후 금융회사 CISO·CIO 현황’ 자료를 분석한 결과 은행·증권·선물·종금·보험·카드사의 CISO·CIO 340명 중 47.6%가 정보 보호나 IT 분야의 비전공자인 것으로 조사됐다. 특히 CISO·CIO의 정보 보호 관련 경력은 평균 29개월밖에 안 됐다. 금융사들이 지난해 5월 전자금융거래법 개정으로 CISO 전임제가 도입되면서 전공 여부나 관련 경력 유무에 관계없이 ‘일단 자리를 채우고 보자’는 얄팍한 술수가 엿보인다. 특히 CISO와 CIO의 동시 겸직뿐 아니라 마케팅과 경영지원, 사업본부 등 영업 부서와 겸직하는 CISO와 CIO도 수두룩했다. 한국수출입은행의 전·현직 CISO는 총괄기획본부와 남북협력본부 소속으로 CISO의 자격 요건을 충족하지 못했지만 임명됐다. 이들은 보안 비전공자에 정보 보호 유관 경력이 없는 것으로 확인됐다. 여기에 CIO가 CISO까지 겸직했다. 이번 ‘카드 사태’의 주역인 KB국민카드도 여전히 CISO와 CIO가 겸직인 데다 정보 보호 관련 경력이 없다. 롯데카드와 NH농협카드도 별반 다르지 않다. 염흥열 순천향대 정보보호학과 교수는 “정보 보안은 전문적인 기술이 필요한 분야이지만, 금융사들이 형식적인 요건을 갖추기 위해 전문성이 없는 사내 인사를 앉히는 등 정보 보안에 무감각하게 대응해 왔다”면서 “자율적으로 지켜지지 않는다면 금융당국이 적극 나서서 점검할 필요가 있다”고 지적했다. 김경두 기자 golders@seoul.co.kr 김진아 기자 jin@seoul.co.kr

KB국민, 롯데, NH농협 등 3개 카드사의 고객정보 유출사건의 충격이 가시지 않고 있는 가운데, 한국공인중개사협회의 홈페이지도 악성 프로그램에 의해 해킹당한 것으로 알려져 논란이 예상된다. 해당 홈페이지는 개인 신상 정보가 담긴 부동산 거래계약서 데이터베이스와 연결돼 있어 계약서까지 해킹됐을 경우 2차 피해가 발생할 수 있다는 지적이 일고 있다. 계속해서 개인정보유출, IT 정보보안 문제가 도마 위에 오르며 국민들의 불안감은 커지고 있다. 이러한 보안위기 상황 속에서 보안전문미디어 보안뉴스(www.boannews.com)는 최근 불거진 개인정보유출사태와 관련해 ‘긴급 7대 보안수칙’을 선정, 발표했다. 보안뉴스가 발표한 ‘긴급 7대 보안수칙’은 다음과 같다. ▲ 각 사이트별 아이디와 패스워드는 각각 다르게 설정한다 ▲ 아이디와 패스워드는 특수문자를 포함하여 복잡하게 만든다 ▲ PC와 휴대폰에 백신프로그램을 설치하고 ‘실시간 감시’로 설정해둔다 ▲ 금융계좌 거래 시 거래내역 ‘실시간 알림 서비스’를 활용한다 ▲공인인증서와 보안카드는 PC와 이메일에 보관하지 않고, 반드시 별도 보관한다 ▲이메일이나 문자메시지 수신 시 모르는 URL은 클릭하지 않는다 ▲ 파일은 백신검사로 악성코드 여부를 확인한 후에 실행한다. 보안뉴스 최정식 발행인은 “이번에 선정한 ‘긴급 7대 보안수칙’은 그동안 발표된 보안수칙과 가이드라인 중 가장 기본이 되면서 꼭 필요한 내용만 모아놓은 것”이라며 “PC와 스마트폰 등을 통해 업무 및 일상생활을 영위하는 대다수 국민들의 개인정보 유출과 바이러스, 악성코드 감염, 각종 피싱, 스미싱 피해를 최소화할 수 있는 가장 기본적인 원칙이기 때문에 이 7가지 수칙만큼은 반드시 준수해야 한다”고 강조했다. 온라인뉴스부 iseoul@seoul.co.kr

영국 정보기관이 온라인 바이러스 유포, 미인계 등을 동원해 첩보활동을 해 온 것으로 드러났다. 미국 NBC방송은 9일(현지시간) 전직 미국 중앙정보국(CIA) 요원 에드워드 스노든을 통해 입수한 문건을 토대로 영국 정보기관 정부통신본부(GCHQ)가 보안 목적으로 테러 단체나 범죄용의자, 해커 등을 추적한다는 미명하에 “더러운 수법을 사용했다”고 폭로했다. 문건에 따르면 ‘이펙트’라는 이름으로 진행된 이 작전은 “적들의 신뢰를 떨어뜨리고 이를 통해 상대를 파괴하며 저해·방해하는 것”이라고 기재돼 있다. 이 문건들은 GCHQ가 2010∼2012년 미국 측 협력기관인 국가안보국(NSA)과의 합동 회의용으로 만든 자료로 산하 해커전담 조직 ‘합동위협연구첩보그룹’(JTRIG)을 통해 진행된 사이버 첩보활동에 대한 내용을 담고 있다. GCHQ는 온·오프라인을 통해 다양한 작전을 사용했다. 2012년도 문건에는 ‘대사 연회’(Ambassadors Reception)로 이름 붙인 컴퓨터 바이러스를 유포한 내용이 들어 있었다. 이 바이러스는 사용자의 이메일을 삭제하고 모든 파일을 암호화하며 컴퓨터 화면을 뒤흔들도록 만들어졌다고 적혀 있다. 추적 대상을 뜻대로 움직이게 하려는 수단으로 미인계도 언급했다. 첩보요원을 ‘인터넷 데이트’ 상대처럼 가장해 표적에 접근하는 방식인데 “통하기만 하면 아주 성공적”이라는 설명이 붙어 있었다. 추적 대상의 이메일 계정 등을 공격해 동료에게 잘못된 정보를 퍼뜨리게 하거나 사진을 바꿔치기하는 수법도 소개됐다. GCHQ의 추적으로 붙잡혔던 전직 해커 제이크 데이비스는 영국 일간 인디펜던트와의 인터뷰에서 “이메일을 가로채고 바이러스를 퍼뜨리는 정부를 보면 누가 진짜 범죄자인지 모르겠다”고 지적했다. 백민경 기자 white@seoul.co.kr

카드사의 대규모 고객정보 유출 사태로 불똥을 맞은 은행들이 부랴부랴 정보 보안 강화에 나섰다. 현장에서는 내부 직원들의 정보보안 의식보다 규제 강화에 초점을 맞춘 땜질식 처방이라는 지적도 나온다. 5일 금융권에 따르면 최근 KB국민은행과 농협은행 등 상당수 시중은행들은 직원의 업무용 컴퓨터에 고객 정보를 직접 저장할 수 없도록 클라우드 시스템을 구축하고 있다. 클라우드 시스템이 갖춰지면 고객 개인정보 등 민감한 정보를 중앙 컴퓨터 또는 온라인 공간에 저장해 놓고 직원들은 각자의 컴퓨터에 정보를 저장하지 않고도 이를 내려받아서 사용할 수 있다. 국민은행 관계자는 “클라우드 방식을 갖춰 직원들이 조회하는 것만 허용하도록 하는 안을 검토하고 있다”고 말했다. 농협은행 역시 정보기술(IT)본부와 중앙본부의 컴퓨터를 클라우드 시스템으로 바꾸고, 모든 은행 컴퓨터의 개인정보 취급 여부를 모니터링할 계획이다. 직원 컴퓨터에 고객의 개인정보가 저장되는 것을 막기 위해 우리은행은 앞으로 직원이 필요할 경우 부서장 승인을 받아 최대 3개월까지만 자신의 컴퓨터에 고객정보를 저장해놓을 수 있도록 규정을 만들었다. 이동식 저장장치(USB)나 이메일을 이용해 정보를 바깥으로 가지고 나가는 절차도 까다로워진다. 신한은행 본점에서는 보안본부 직원이 입회한 경우에만 USB를 사용할 수 있고, 지점에서는 보안본부가 원격 시스템으로 USB 사용을 모니터링한다. 하나은행은 USB를 사용하거나 첨부파일이 있는 이메일을 외부로 보낼 때는 반드시 고객정보보호부의 승인을 받도록 했다. 깐깐해진 은행 내부의 정보보안에 대해 내부에서는 회의 섞인 목소리도 나오고 있다. 정보보호에 대한 인식은 그대로인데 규제만 강화하는 꼴이기 때문이다. 한 은행의 IT부서 관계자는 “굵직한 사건이 터지면 그제서야 절차를 늘리고 규제를 두는 경우가 많은데 정작 현장에서 업무를 하는 직원들의 보안의식을 높이기 위한 교육은 이뤄지지 않고 있다”고 말했다. 윤샘이나 기자 sam@seoul.co.kr

은행, 증권, 보험, 카드 등 4대 금융업계의 116개사가 지난해 정보 보호 예산을 전년 대비 평균 22.4%가량 줄인 것으로 나타났다. 도이치증권은 지난해 정보기술(IT) 보안(정보 보호) 인력이 단 한 명도 없는 것으로 확인됐고, 우리카드는 보안 인력이 2명(IT 인력의 3%)에 불과해 전자금융거래법(보안 인력은 IT 부문 인력의 5% 이상)을 위반한 것으로 드러났다. 금융사 최고경영자(CEO)의 관심 부족과 수익성 논리에 치우친 결과로 해석된다. 서울신문이 28일 이노근 새누리당 의원실을 통해 입수한 금융감독원의 ‘금융사 IT 보안 예산 및 IT 보안 인력 현황’ 자료에 따르면 지난해 금융권 116개사의 정보 보호 예산은 평균 79억 5000만원으로 전년(102억 5000만원) 대비 22.4% 감소했다. 지난해 정보 보호 예산 141억원을 책정한 은행권(18개사)의 삭감 폭이 가장 컸다. 2012년(218억원) 대비 35.3% 깎였다. 증권업계(49개사)와 보험업계(41개사), 카드업계(8개사)의 지난해 정보 보호 예산도 전년 대비 각각 14.8%, 14.0%, 3.5% 줄었다. 규모로는 증권사가 지난해 평균 23억원으로 가장 적었고 보험(43억원)과 카드(111억원), 은행(141억원) 순이었다. 보안 인력도 빈약했다. 지난해 은행권의 IT 인력은 업체당 평균 387명으로 이 중 보안 인력은 24명(6.2%)이었다. 전자금융거래법상 보안 인력은 ‘IT 인력의 5% 이상’(5% 룰)이어야 한다는 조건을 겨우 충족했다. 그러나 내용을 들여다보면 ‘눈 가리고 아웅하는 격’이라는 지적이 나온다. 보안 인력에는 단순한 PC 유지·보수 인력과 네트워크 유지·보수 인력도 포함됐기 때문이다. 보안 인력의 ‘5% 룰’을 맞추기 위한 꼼수라는 얘기다. 이기웅 경제정의실천시민연합 경제정책팀 부장은 “고객 정보는 금융사의 큰 자산인데, 이를 책임지는 보안 인력은 절대 수가 부족한 데다 상당수가 외부 용역업체 직원”이라면서 “수익성 논리와 5% 룰에 따르다 보니 기형적인 구조가 만들어졌다”고 지적했다. 증권과 보험, 카드는 더 열악했다. 증권 49개사 중 절반이 넘는 25개사의 보안 인력이 ‘2명 이하’로 나타났다. 도이치증권은 보안 인력이 아예 없었고, 부국증권과 BS투자증권, 맥쿼리증권 등 19개사의 보안 인력은 1명뿐이었다. IBK투자증권과 KTB투자증권 등 5개사도 2명에 불과했다. 보험 41개사 중 농협손해보험과 코리안리재보험, KB생명보험도 보안 인력이 각각 2명이었다. 이번 카드 사태의 주범인 KB국민카드와 롯데카드도 보안 인력이 각각 12명, 15명에 그쳤다. 김경두 기자 golders@seoul.co.kr

대학원에서 행정학을 공부하는 김은주씨는 논문 자료를 구하려고 태블릿PC 아이패드에서 ‘모바일 정보공개’ 애플리케이션(앱)을 내려받았다가 이내 삭제해 버렸다. 로그인 자체가 안 되는 바람에 필요한 정보공개청구가 불가능했기 때문이다. 안드로이드 운영체제의 스마트폰으로 다시 시도했지만, 역시 로그인에서부터 벽에 가로막혔다. 어쩌다가 로그인에 성공해도 앱에서는 PC 버전과 달리 사전정보 목록 말고는 정보공개청구를 제대로 할 수 없다. 중요한 첨부파일을 정작 열어볼 수 없기 때문에 예전에 청구했던 자료를 다시 보는 것도 불가능하다. 또 수수료 납부 기능이 없어서 힘들게 받은 답변 자료를 목록만 확인할 수 있을 뿐, 내용을 수신할 수도 없다. 김씨는 “앱을 실행하면 첫 화면에 ‘어디서나 쉽고 편하게 정보공개시스템을 이용하세요’라는 문구가 보이는데, 뭐가 쉽고 편하다는 건지 이해가 안 된다”며 분통을 터뜨렸다. 28일 안전행정부에 따르면 정보공개 앱은 스마트폰, 태블릿PC 등을 통해서도 PC 버전의 ‘정보공개시스템’(www.open.go.kr)을 이용할 수 있도록 하자는 취지로 2012년에 구축됐다. 정보공개 제도 안내와 더불어 사전에 공개된 정보목록 검색, 정보공개청구, 청구 처리과정 등을 이용자가 확인할 수 있도록 설계돼 있다고 했다. 하지만 현실에선 이용자들의 화만 돋우는 애물이다. 이런 앱을 만들기 위해 안행부는 개발업체인 H사에 2억 4892만 6000원이나 지급했다. 정보기술(IT) 개발자인 김상인씨는 “정보공개시스템 홈페이지를 모바일용으로 그대로 옮겨놓은 정도에 불과하다”면서 “솔직히 앱이라고 부르기도 민망한 수준”이라고 말했다. 서울신문이 정보공개청구를 통해 입수한 ‘검사확인서’를 보면 안행부는 정보공개 앱 개발이 끝난 뒤 모든 세부사업의 검사 판정 결과가 합격임을 확인해 줬다. 그러나 안행부가 요구한 세부항목 가운데 청구 신청, 처리상태 확인, 정보공개 실시, 회원관리 등은 지금도 구현이 안 된다는 점에서 부실한 사업 집행이고, 졸속 심사라는 비난을 피할 수 없게 됐다. 안행부는 지난해 정보공개 앱의 불편 사항을 해소하기 위해 또 3000만원을 들여 연말까지 문제를 해결하겠다고 공언한 바 있다. 하지만 아직까지 바뀐 건 아무것도 없다. ‘정부3.0’은 새로운 정부 운영의 패러다임으로 채택됐다. 정부3.0의 첫 단추가 공공정보의 공개이다. 그런데 중앙행정기관과 지방자치단체에 온라인으로 정보공개를 청구할 수 있는 정보공개시스템은 기능 개선은 뒷전인 채 겉으로 보이는 디자인만 최근 바꾸고, 작동 오류는 여전해 이용자들의 불만을 사고 있다. 정보공개시스템에 접속하면 상단에 정보공개도우미라는 배너에 이어 ‘열린마당’이 나온다. 정보공개청구를 하는 시민들이 문의사항이나 불만사항을 올리는 게시판이지만 하루에도 수십건씩 성인광고가 쌓인다. IT 전문가들은 이에 대해 “부실한 관리에 앞서 보안에 취약하다는 것을 말한다”고 입을 모은다. 한 전문가는 열린마당을 살펴본 뒤 “웹 개발을 6개월 정도 배운 사람이 게시판 만들면 딱 이런 식으로 되곤 한다”고 꼬집었다. 일반적인 질의응답 역시 2009년 4월 17일까지 운영자가 답글을 게시했고 그 이후에는 아무런 답글도 없다. 안행부는 2005년부터 3차에 걸친 시스템 구축에 각각 24억원, 22억 3000만원, 17억 5400만원이나 되는 예산을 투입하고 2007년부터 2012년까지 유지보수 비용으로 약 4억원을 썼다. “이용하다가 답답한 마음에 담당자를 찾아 전화해도 항상 통화 중”이라는 지적도 나온다. 이는 지난해까지 시스템 전화 응대 인력이 단 두 명뿐이고 전화 회선 하나를 시민과 각 공공기관의 정보공개 담당 공무원들이 함께 사용하고 있기 때문이다. 안행부는 최근 정보공개시스템을 위탁운영하는 업체를 바꾸면서 전화 상담원을 2배로 늘렸다고 해명했으나, 전화는 여전히 통화 중이다. 투명사회를 위한 정보공개센터의 전진한 소장은 “반드시 비밀을 지켜줘야 할 개인정보는 누출로 인한 피해가 늘어나는데, 공익을 위해 공유해야 할 정보는 꽁꽁 싸매려 한다”고 말했다. 전 소장은 또 “박근혜 대통령이 ‘정부3.0’을 강조하는 건 높이 평가한다”면서도 “그러나 이를 뒷받침해야 할 보좌진이나 공공부문에선 마지못해 흉내만 내는 것 같다”고 말했다. 이어 “정보공개 관련 업무를 지휘하는 과장 이상 간부들을 대상으로 한 교육이 시급하다”고 강조했다. 강국진 기자 betulo@seoul.co.kr 김민석 기자 shiho@seoul.co.kr 최지숙 기자 truth173@seoul.co.kr 오세진 기자 5sjin@seoul.co.kr

3개 신용카드사의 고객정보 유출에 따른 국민 불안이 가중되는 가운데 정부와 정치권의 움직임이 부산하다. 정부는 유출 정보를 악용한 2차 피해를 막겠다며 연일 강도 높은 대책을 쏟아내고 있다. 개인정보 유출 금융사에 대한 징벌적 과징금 부과에서부터 금융사 전화·이메일 판촉행위 금지, 스팸문자 번호 차단 등을 통해 유출 정보를 활용한 2차 금융범죄를 최대한 억제하겠다고 밝혔다. 금융감독 당국의 책임자는 물론 심지어 대통령의 금융정보까지 털린 마당이니 정부 당국자들이 지금 얼마나 발을 구르고 있을지 짐작이 간다. 그러나 정부의 이런 긴급처방이 성난 민심을 달래고 실제로 2차 피해를 억지하는 성과를 거둘지는 극히 미지수다. 오히려 허둥대는 정부 모습에 더 불안을 느끼는 국민이 적지 않을 성싶다. 사실 개인정보 유출은 어제오늘의 일이 아니다. 해킹이나 불법거래 등을 통해 수없이 개인정보가 유출돼 왔다. 2010년 삼성카드 80만건을 필두로 2011년부터 2012년까지 유출된 정보만 6342만건에 이른다는 통계도 있다. 정부 대책도 2011년 6월 금융회사 IT보안 강화 종합대책, 2013년 7월 금융전산 보안강화 종합대책 등 그때그때 나왔으나 이번 사태를 막지는 못했다. 정부 대책이 즉응적 처방에 그치다 보니 여기저기 뚫리는 구멍을 온전히 틀어막지 못한 것이다. 개인정보가 새는 구멍도 결제망 대행업체(VAN), 인터넷 쇼핑, 홈쇼핑, 게임사이트 등 이루 헤아리기조차 힘들다. 어디 금융업종뿐인가. 지난 5년간 공공기관에서 새 나간 개인정보만도 439만건이다. 개인정보가 더 이상 개인정보가 아닌 세상에서 진작부터 살아온 셈이다. 이번 카드3사 개인정보 유출사태는 지금 전 세계적 주목을 받고 있다. ICT(정보통신기술) 강국인 한국이 정보 유출에 어떻게 대응하고 어떤 보안책을 강구하는지 지구촌이 지켜보고 있다. 단기 대응을 넘어 중장기적 관점의 범국가적 논의가 이뤄져야 한다. 그리고 여기에는 개인정보 보호뿐 아니라 향후 고도정보화시대의 산업 역량 확충을 위한 개인정보 활용 문제도 함께 다뤄져야 한다. 국민 개개인의 권익 보호를 위한 개인정보 보호와 의료와 치안, 미래산업 등에서 막대한 파급효과를 가져올 개인정보 활용이 상충되지 않고 조화를 이룰 법적 제도적 방안을 강구해야 하는 것이다. 긴 여정의 방대한 논의다. 정부와 국회가 머리를 맞대야 한다. 이번 사태에 대한 국회 차원의 국정조사가 그 출발점이 돼야 한다고 본다. 개인정보와 관련해 사회 모든 영역을 아우르는 제도적 정비가 추진돼야 하며, 이를 위해 각계의 목소리를 담을 국회 차원의 특위 구성이 필요하다. 국정조사도 이 특위가 맡는 것이 온당하다. 정부와 여당은 보다 열린 자세로 민주당의 요구를 수용하기 바란다.

2011년 농협 전산망 마비와 현대캐피탈 해킹 사건, 지난해 농협·신한은행 등을 상대로 한 3·20 사이버테러 등 굵직한 사건이 터질 때마다 국내 금융사들은 보안 태세 점검과 강화를 외쳐 왔다. 그러나 금융사들은 지난 몇 년 동안 곳간 문 앞 울타리를 한 겹 더 쳤을 뿐 울타리에 작은 틈만 하나 생겨도 안에 든 재물을 속수무책으로 털리는 허점을 고스란히 드러냈다. 상당수 금융사가 개인 식별 정보 암호화 등의 근본적인 보안 강화 작업을 미뤄 왔기 때문이다. 실제로 이번 사태를 빚은 KB국민카드, 롯데카드, NH농협카드를 비롯한 카드사와 은행권의 개인 정보 암호화는 밑바닥 수준인 것으로 드러났다. 금융사들은 개인정보보호법에 따라 2012년 12월까지 주민등록번호, 비밀번호 등의 고객 식별 정보가 유출, 분실되지 않도록 암호화하는 작업을 완료했어야 했지만 이를 이행한 곳은 거의 없다. 개인 정보 데이터베이스(DB)를 암호화하면 정보가 유출되더라도 식별이 불가능하다. 지난해 국정감사에서 김영주 민주당 의원이 금융감독원으로부터 받은 자료에 따르면 금융사 103곳 중 절반 이상인 60개 기관이 개인 정보를 암호화하지 않았다. 17개 시중은행 가운데 암호화를 완료한 은행은 전북은행 한 곳이었다. 정보 유출 사태를 빚은 카드 3사도 고객 식별 정보를 암호화하지 않은 상태로 보관하고 있었다. 다른 카드사들도 사정은 마찬가지다. 삼성카드와 하나SK카드, 비씨카드 등은 고객 개인 정보에 대한 암호화 작업을 해 둔 상태지만 일부 시스템에만 적용돼 있다. 카드사의 한 관계자는 “그동안은 내부적으로 예산 제약이나 타당성 검토 등의 여러 가지 이유로 고객 DB 전면 암호화를 시작하지 못했는데 최근 여러 기술보안 업체에 상담을 의뢰해 둔 상황”이라고 말했다. 금융사의 정보 보호 예산은 연초에 계획한 예산을 모두 집행하지 않아 ‘대외 과시용’이라는 지적도 나온다. 롯데카드는 2012년 정보 보호 예산액이 85억원이었으나 집행액은 47억원으로, 계획 대비 45%나 덜 투자했다. 국민카드는 예산액을 2012년 113억원에서 지난해 76억원으로 33%가량 줄였다. 2012년 실제로 집행된 정보 보호 예산은 48억원에 그쳤다. 계획한 예산의 42%만 투자한 셈이다. NH농협은행을 포함한 NH농협카드의 2012년 정보 보호 예산액은 무려 1104억원(집행액 971억원)을 기록했지만 지난해는 406억원으로 뚝 떨어졌다. 2011년 농협 전산 사고 여파로 이듬해 예산을 크게 늘렸다가 세간의 관심이 멀어지자 다시 투자금을 줄였다.4대 은행의 정보 보호 예산과 집행액도 상당한 격차를 보였다. KB국민은행은 2012년 정보 보호에 341억원을 투자할 계획이었지만 실제로 투자한 금액은 221억원이었다. 신한은행은 175억원에서 155억원, 우리은행은 186억원에서 175억원, 하나은행은 238억원에서 100억원으로 계획 대비 투자액을 줄였다. 금융당국 관계자는 “정보 보호 예산을 투자로 생각지 않고 지출로만 생각해서 이런 격차가 생긴 것으로 보인다”고 지적했다. 물리적 보안장치는 갖춰져 있지만 이를 운용하는 인력 관리가 허술한 점도 한 원인이다. 2011년 농협 전산망 마비 사태 이후 한국인터넷진흥원(KISA)은 ‘정보기술(IT) 외주 인력 보안 통제 안내서’를 만들었지만 현장에서 규제 효과를 보지 못하고 있다는 지적이 나온다. 오희국 정보보호학회장(한양대 컴퓨터공학과 교수)은 “이동식 저장장치(USB)로 정보를 빼내 가는 등 초보적인 수준의 보안 구멍이 난 것은 제도가 허술하다기보다 이를 지키지 않는 인력의 문제”라고 말했다. 이미 앞서 대규모 개인 정보 유출 사건을 겪은 일부 금융사는 직원이 고객 정보를 조회하거나 출력할 때 관리자에게 실시간으로 통보되고 일주일에 한번 불필요한 고객 개인 정보를 동시에 파기하는 등의 시스템을 마련했지만 물 샐 틈 없는 보안을 보장하기는 어려운 상황이다. 한 카드사 관계자는 “고객 관련 정보를 조회하거나 출력할 때 일일이 관리자의 결재를 받아야 하는 등의 시스템을 두고 있지만 예상치 못한 직원의 ‘일탈’까지 사전에 통제하기는 어렵다”고 말했다. 신종 금융 사기 수법에 취약한 금융권의 보안도 불안 요소다. 최근 신한은행과 농협은행에서 발생한 신종 ‘메모리 피싱’ 수법은 기존의 피싱 범죄가 고객의 계좌 비밀번호와 공인인증서, 보안카드 등의 정보를 빼돌려 돈을 빼 간 것과 달리 금융 정보 유출 없이 이체 정보를 바꿔 돈을 빼돌린 것이다. 윤샘이나 기자 sam@seoul.co.kr 김경두 기자 golders@seoul.co.kr

손이 아닌 ‘귀’로 스마트폰 잠금 해제를 할 수 있다면 믿을 수 있을까? 최근 기존 상식을 뛰어넘는 특이한 방식의 안드로이드 어플리케이션이 개발돼 네티즌들의 관심이 집중되고 있다. 영국 일간지 데일리메일은 미국 데카르트 바이오메트릭 사가 ‘귀 생체 인식’ 모바일 보안 솔루션을 개발했다고 23일(현지시간) 보도했다. 프랑스 철학자 데카르트의 유명 명언인 “나는 생각한다 고로 존재한다(Cōgitō ergo sum)”에서 따온 것이 유력해보이는 ‘ERGO’라는 이름의 해당 어플리케이션은 “사람마다 고유한 지문형태가 있는 것처럼 ‘귀’ 역시 마찬가지”라는 발상에서 출발한다. 사람마다 고유한 귀 형태를 스마트폰 센서(카메라)가 인식해 잠금이 해제되는 방식으로 구동되는 해당 어플리케이션은 현재 특허 출원 과정 중이며 가격은 3.99달러(약 4300원)로 계획 중이다. 한편 해당 어플리케이션과 같은 형태의 바이오인식 시스템은 모바일 보안 중요성이 커지는 요즘 특히 각광받고 있는 분야다. 이는 복제가 거의 불가능한 개개인 생체 고유 정보인 지문, 음성, 망막 등을 이용한 보안 시스템으로 크게 ‘센서’와 ‘프리프로세싱’으로 구성된다. 기본 구조는 생체 인식 초기 입력신호를 받아들이는 ‘입력부’, 입력신호를 변환해 고유의 특징으로 변환하는 ‘특징추출부’, 이 특징을 시스템으로 전송한 뒤 저장된 기존의 특징과 비교해 최종 접근 승인을 내리는 ‘비교부’로 각각 구성돼 있다. 사진=데일리메일 캡처　 조우상 기자 wscho@seoul.co.kr

국내 35개 증권사의 정보기술(IT) 시스템을 위탁관리하는 코스콤(옛 증권전산)의 보안망도 뚫린 것으로 뒤늦게 확인됐다. 개인 정보가 대거 유출된 카드업계뿐만 아니라 증권업계도 보안 및 개인정보 관리 실태에 대한 점검이 시급하다. 22일 금융투자업계에 따르면 2012년 12월 코스콤의 한 직원이 사내에서 쓰는 컴퓨터가 해킹당해 업무 자료 일부가 빠져나갔다. 유출된 자료는 다행히 코스콤의 전산실 설비와 관련된 내용이라 피해가 크지 않았다. 만약 이 자료가 고객 정보였다면 엄청난 파문이 일었을 것으로 업계 관계자들은 보고 있다. 코스콤은 2012년 9월 중순부터 사내 업무망과 인터넷망을 분리해 직원들이 두 대의 컴퓨터를 사용하도록 했다. 업무 전산망에 인터넷 접속을 못 하도록 해 해킹 공격 등에 대비하자는 취지였다. 그러나 해킹을 당한 직원이 업무 자료를 이동식저장장치(USB)에 담아 사내 업무용 컴퓨터에서 인터넷용 컴퓨터로 옮기는 과정에서 코스콤이 강조한 ‘철통 보안’은 쉽사리 무너졌다. 이 직원의 컴퓨터가 원격조종과 데이터 절취가 가능한 악성코드에 감염되면서 코스콤 업무 자료가 해킹 경유지 서버가 있는 일본으로까지 유출됐다. 코스콤 측은 “직원 1명의 인터넷용 컴퓨터 이외에 다른 컴퓨터에서는 악성코드 감염이나 피해가 일어나지 않았다”면서 “내부 업무망에는 해커가 침입하지 못해 고객 정보가 전혀 유출되지 않았다”고 설명했다. 당시 해킹 피해가 미미했지만 코스콤에서 발생한 사고라는 점에서 금융감독당국, 국정원 등도 초미의 관심을 두고 조사를 벌인 것으로 알려졌다. 코스콤은 국내 62개 증권사 중 35개사의 고객 정보를 관리하고 있다. 여기에는 계좌 정보, 거래 실적, 출납 관계, 투자 내역 등이 모두 포함된다. 한 증권사 관계자는 “시스템 안정성이 비교적 높은 코스콤의 인터넷망이 뚫렸다면 다른 곳은 말할 것도 없지 않으냐”면서 “증권업계 전반적으로 보안과 개인정보 관리 실태를 점검할 필요가 있다”고 말했다. 김진아 기자 jin@seoul.co.kr

21일에도 신용카드를 재발급 받으려는 수요는 여전했다. 국민·롯데·농협 등 카드 3사와 국민은행 등은 본사 직원을 영업점에 긴급 투입하는 등 일손을 대거 늘렸으나 밀려드는 고객을 따라잡지 못해 극심한 혼란이 이어졌다. 지금까지 카드 재발급, 해지, 정지를 신청한 고객이 180만명에 육박하는 것으로 집계됐다. 정보 유출 피해 여부를 조회한 고객 수도 1000만여명에 달했다. 불안감이 과도하게 확산되고 있다는 우려도 있다. 이제는 2차 피해 최소화와 더불어 국민 신상이 다시 털리지 않도록 하는 데 역량을 집중해야 한다는 목소리가 높다. 이상진 고려대 정보보호대학원 교수는 “국민 불안감을 진정시키기 위해서라도 이런 일이 다신 생기지 않도록 방지책을 짜야 한다”면서 “2011년 농협 전산망 해킹 사태 이후 국내 금융사들의 사이버 방화벽은 상당한 수준에 오른 만큼 이제는 사람에 의한 유출, 즉 물리적 방화벽 구축에도 신경 써야 한다”고 주장했다. 외국처럼 금융사도 보안검색대나 폐쇄회로(CC)TV 등을 설치해야 한다는 것이다. 매뉴얼이 제아무리 잘 마련돼 있어도 이동저장장치(USB) 반입을 허용한 SC은행이나 카드 3사 사례에서 보듯 ‘기본’을 지키지 않는 곳도 많은 만큼 사이버 방화벽을 재점검해야 한다. 이윤석 금융연구원 연구위원은 “정보를 훔쳐 내다 팔고 제대로 관리를 못해 도둑질당해도 최대 600만원의 과태료(신용정보보호법 기준)가 고작인 솜방망이 제재 수위를 끌어올려야 한다”고 강조했다. 영업력과 시너지 효과 등을 위해 금융지주 계열사 간, 그룹 계열사 간, 제휴사 간 너무 광범위하게 허용하고 있는 정보 공유를 엄격히 제한하고, 신용정보보호법·개인정보보호법·금융지주회사법·보험업법 등 법안별로 제각각인 정보 수집 및 관리 기준도 통일시켜야 한다. 오희국 한양대 컴퓨터공학과 교수는 “전산을 자체 관리하느냐, 외부에 맡기느냐는 본질이 아니다”며 정보기술(IT) 강국의 명성에 비해 턱없이 부족한 보안 전문가를 꾸준히 양성해야 한다고 역설했다. 조남희 금융소비자원 대표는 “우리 사회 전반의 보안 불감증을 개선해야 한다”면서 “별생각 없이 정보 활용에 동의하는 국민 개개인의 의식도 바꿔야 한다”고 말했다. 금융사 거래 때 대출이자만 보지 말고 정보 유출 전력도 꼼꼼히 따져야 한다는 것이다. 안미현 기자 hyun@seoul.co.kr 윤샘이나 기자 sam@seoul.co.kr

카드사 개인정보 유출 사태로 정보 보안 필요성이 강조되면서 정보기술(IT) 보안 및 카드 재발급 관련 기업의 주가가 급등하고 있다. 이들 보안주는 테마주로 개인정보 유출 사태가 진정되면 다시 주가가 크게 떨어질 가능성도 있어 투자에 주의해야 한다. 정보보안 및 금융 IT 서비스 업체인 이니텍, 카드 재발급 관련 칩을 생산하는 아이씨케이, 국내 최대 신용카드 제조업체인 바이오스마트 등은 21일 모두 상한가를 기록했다. 이날 이니텍은 565원(14.93%) 오른 4350원, 아이씨케이는 355원(14.85%) 오른 2745원, 바이오스마트는 395원(14.85%) 오른 3055원에 각각 거래를 마쳤다. 반면 정보 유출 사태의 중심에 있는 KB금융 주가는 이날 개장 후 크게 떨어졌으나 오후 들어 오름세로 돌아서 전 거래일보다 200원(0.51%) 오른 3만 9250원에 장을 마감했다. 유진호 우리투자증권 연구원은 “이니텍은 최근 금융권의 보안사고로 금융회사들이 관련 투자를 늘릴 것으로 보여 수혜가 기대된다”고 분석했다. 이니텍은 국내 금융기관 대상 보안 사업 시장점유율 1위사다. 김진아 기자 jin@seoul.co.kr

‘난 네가 2011년 4월에 한 일을 알고 있다.’ 1억 400만건의 고객 정보가 유출된 이번 ‘카드 사태’의 책임론에서 한발 비켜 서 있는 금융 당국에 대한 비판이 제기되고 있다. KB국민카드, NH농협카드, 롯데카드 등 카드 3사와 코리아크레딧뷰로(KCB) 최고경영자(CEO)의 줄사퇴에 이어 다음 달 전직 임원과 지주사 경영진 문책까지 예고된 상황에서 책임의 한 축인 금융 당국이 ‘갑’(甲)의 위치에서 연대 책임을 떠넘기려는 모습을 보여서다. 신제윤 금융위원장도 21일 이를 의식한 듯 “내가 책임질 일이 있으면 책임지겠다”고 말했다. 지난 8일 검찰의 중간수사 발표 이후 금융 당국 수장이 책임을 언급한 것은 처음이다. 최수현 금융감독원장에 대한 책임론도 불거졌다. 김상민 새누리당 의원은 “이번 사태의 근본 원인은 기업의 부실한 개인 정보 관리와 함께 금감원의 관리 감독 부실, 국민의 개인 정보 보호를 소홀히 한 정부에 있다 ”면서 “금감원장이 이번 사태의 총체적 책임을 져야 한다”고 지적했다. 고객 정보 유출에 대한 금융 당국의 과거 대처 내용을 들여다보면 이번 카드 사태가 ‘민관 합작품’으로 해석될 수 있는 대목이 적지 않다. 금융사의 보안을 무디게 한 책임이 금융 당국에 있기 때문이다. 2011년 4월로 거슬러 올라가 보자. 같은 달 19일 금융위원장과 금융감독원장은 국민적 관심사로 떠오른 농협과 현대캐피탈의 고객 정보 유출 사태를 수습하기 위해 간담회를 열고 금융지주사 회장 등에게 보안 점검과 대책 마련을 당부했다. 또 금융 정보기술(IT) 보안 강화를 위한 태스크포스(TF)도 구성했다. 이어 내부 통제 개선과 외주 용역 관리 개선을 담은 ‘금융 IT 보안 강화 종합대책’이 발표됐다. 당시 김석동 금융위원장은 “금융사에서 심각한 IT 보안 사고가 발생하면 CEO가 직접 책임을 지도록 하겠다”고 밝혔다. 그러나 엄포로 끝이 났다. 고객 정보 175만건을 유출한 현대캐피탈의 정태영 사장은 ‘주의적 경고’에 그쳤다. 2011년 8월 고객 정보 5만건이 유출된 하나SK카드의 이강태 사장도 주의적 경고를 받아 비씨카드 사장으로 자리를 옮길 수 있었다. 징계 여부에 따라 사장 취임이 불명확했지만, 금융 당국의 솜방망이 처벌로 비씨카드 CEO에 올랐다. 고객 정보 47만건이 털린 삼성카드의 최치훈 사장도 주의적 경고를 받고 유임에 성공했다. 장병완 민주당 정책위의장은 “2011년 개인 정보 유출 사고를 일으킨 농협과 현대캐피탈 등 4개 금융기관에 내려진 제재는 고작 기관 경고와 감봉, 과태료 600만원에 그쳤다는 점에서 금융 당국에 1차적 책임이 있다”고 지적했다. 금융업계 관계자는 “금융 당국이 책임이 없는 것처럼 금융사에 호통만 치는 것은 잘못됐다”고 꼬집었다. 지난 8일 검찰의 중간 수사 발표 이후에도 금융 당국의 태도는 뜨뜻미지근했다. 그러나 지난 14일 오전 신 위원장이 국무회의에 참석한 뒤 갑자기 바빠졌다. 신 위원장은 같은 날 오후 최 원장과 금융지주 회장을 포함한 금융업계 CEO 간담회를 갑작스레 열었다. 또 고객 정보 보호 정상화 TF가 구성됐다. 김경두 기자 golders@seoul.co.kr

“카드사 홈페이지에서 수차례 설치했던 액티브X 같은 보안 프로그램들은 다 뭔가요? 이동식 저장장치(USB) 하나로 수천만 명의 정보가 새어나가는 시스템이면서 노이로제에 걸릴 만큼 귀찮게 했던 건가요?” 카드사 개인 정보 유출과 카드사들의 안일한 대처에 대한 피해자들의 분노가 점점 커지고 있다. 코리아크레딧뷰로(KCB) 직원 A씨는 2012년 5월부터 지난달까지 KB국민카드, NH농협카드, 롯데카드의 고객 정보 1억여건을 몰래 빼내 대출광고업자에게 유통했다. 카드사들은 고객 불편을 초래하면서까지 백신, 키보드 보안, 암호화 프로그램 등을 겹겹이 설치해 놓았지만, 정작 집안 단속엔 소홀했던 셈이다. 정보기술(IT) 대기업에 근무하는 허오영(28)씨는 21일 “직원에 대한 고객정보 관리 교육과 통제에 무관심하면서 해킹에 대비하는 건 모래 위에 성을 쌓는 꼴”이라고 말했다. 신용카드를 정지하거나 해지하고 국외로 나간 유학생, 주재원, 이민자 등의 불만도 크다. 일부는 개인 정보가 유출됐는지 확인할 방법조차 없기 때문이다. 유출 여부를 확인하려면 카드 정보(번호·비밀번호·유효기간 등)나 공인인증서, 휴대전화 등 3가지 중 1가지 정보가 필요하지만 없는 이들도 상당수다. 전화상담을 통해 확인할 수 있다지만 시차 탓에 시간대가 맞지 않아 카드사 직원들과 통화할 수 없는 경우도 대부분이어서 발만 동동 구를 뿐이다. 영국에서 유학 중인 양혜영(38·가명)씨는 “수년 전에 국민카드를 가지고 있다가 해지했지만, 5년까지는 개인 정보가 남아 있다고 해서 확인을 해보려고 했지만, 방법이 없었다”면서 “2차 피해가 발생하더라도 속수무책”이라고 밝혔다. 카드사들의 꼼수를 지적하는 이들도 있다. 국민·NH농협카드 홈페이지에 접속하면 ‘유출정보 확인하기’란 페이지로 넘어가는 반면 롯데카드는 ‘해당 정보 확인하기’란 모호한 용어를 사용했다. 김철민(43·가명)씨는 “유출된 정보 바로 아랫줄에 검찰이 발표했다는 문구를 달아 내 정보가 유출되지 않은 것처럼 보이게 했다”면서 “카드사의 꼼수가 아니냐”며 분통을 터뜨렸다. 이성원 기자 lsw1469@seoul.co.kr

카드 3사가 한 해 수십억원 정도 들어가는 보안 비용을 아끼려다 그보다 10배 이상의 비용을 토해 내는 상황에 직면했다. 수십만건의 카드 재발급 비용을 포함해 향후 집단 소송에서 패소한다면 천문학적인 손해 배상금을 물을 수밖에 없는 상황이다. 금융감독원에 따르면 21일 오후 6시 기준으로 카드 재발급을 신청한 고객은 NH농협카드가 52만 5000명, KB국민카드가 24만 6000명, 롯데카드가 20만 2000명 등으로 집계됐다. 카드 한 장당 재발급 비용이 5000원 수준이니 현재까지 재발급 비용만 50억원에 육박하고 있다. 카드 재발급 신청이 계속 증가하고 있어 비용은 더 늘어날 것으로 보인다. 현재까지 법인과 사망자를 뺀 개인정보 유출 건수만 8245만여건으로, 이것이 모두 재발급으로 이어진다면 최대 4122억원 수준이다. 집단 소송이 진행되면서 이에 대한 손해배상 부담도 떠안을 가능성이 있다. 지난 20일 피해 고객 130여명의 공동 소송을 제기한 법무법인 조율의 신용진 변호사는 “소송을 제기한 피해 고객 1명당 카드사를 상대로 60만원의 정신적 피해보상 등을 요구했다”면서 “네이트의 고객 정보 유출 때는 1명당 20만원의 손해배상 판결이 나왔는데 이번에는 정보 유출 상황이 더 크니 손해배상 정도도 더 클 것으로 전망된다”고 말했다. 카드사의 신뢰도 하락에 따른 비용 부담은 돈으로 따질 수 없는 부분이다. 개인정보 유출로 정보기술(IT) 보안 강화에 따른 추가 비용과 함께 이미지 쇄신에 따른 마케팅 비용도 늘어난다. 카드 3사만이 아니라 전 금융권이 위기의식으로 IT 보안 투자를 늘릴 수밖에 없다. 카드업계 고위 관계자는 “이번 사태로 금융 당국이 정보 보호 규제를 강화할 것으로 보이기 때문에 업계 전체로 보면 비용이 추가로 발생하는 상황”이라고 말했다. ‘금융회사 정보기술 부문 보호업무 모범규준’에 따르면 금융사는 자체 IT 인력을 5% 이상 확보하고 IT 예산 7% 이상을 정보 보호에 투자해야 한다. KB국민은행 등 은행권의 연간 IT 예산은 2000억~3000억원 수준으로, 이 가운데 정보 보호예산(7% 이상)은 200억원 안팎이다. 카드사는 이보다 적은 100억원 미만으로 추정된다. 하지만 최고경영자(CEO)의 성향에 따라 이마저도 투자를 안 하는 곳이 수두룩하다는 게 업계의 진단이다. 김인석 고려대 정보보호대학원 교수는 “금융사들은 단순한 PC 유지 보수 인력도 정보 보호 인력으로 포함시킨다”면서 “정보 보호 예산도 인건비를 포함하거나 연수 예산을 과다하게 포함시키는 등의 방법으로 기준을 맞추는 데 급급하다”고 지적했다. 김진아 기자 jin@seoul.co.kr 김경두 기자 golders@seoul.co.kr

카드사들의 고객 정보 유출 파장이 커지고 있다. KB국민카드와 롯데카드, 농협카드에서 1억 400만건의 정보가 유출되는 과정에서 최대 1000여만명의 시중은행 고객 정보도 빠져나간 것으로 확인돼 충격을 주고 있다. 정보 유출 피해자는 장·차관 등 2000여만명에 이르는 것으로 추산된다. 경제활동을 하는 대부분의 사람들의 소중한 금융 정보가 몽땅 새나간 셈이다. 보이스피싱이나 스미싱, 사기대출 등 2차 피해를 줄일 대책이 절실하다. 신용카드 정보 유출로 은행 고객들의 정보마저 털린 것은 일부 카드사들이 같은 계열의 은행과 정보를 공유하고 있기 때문이다. 은행들은 정보 유출과 관련해 오늘부터 본격적인 개별 공지에 나설 예정이라고 한다. 재발 방지 대책은 물론 피해자들에 대한 보상도 철저히 하기 바란다. 카드 보유자들은 2차 피해를 보는 일이 없도록 각별한 주의가 요구된다. 벌써부터 유출된 고객 정보를 악용하는 사례가 적발되고 있어 걱정이다. 고객 정보 유출 여부를 확인하라는 카드사 사칭 문자 메시지에 은행 계좌번호나 비밀번호, 보안카드 번호 등의 중요한 금융 정보를 아무 생각 없이 입력하는 일은 없어야 한다. 설 연휴를 앞두고 택배 등을 빙자한 사기도 조심해야 한다. 고객 정보가 유출되는 일이 반복되는 것은 최고경영자(CEO)의 고객 정보 보안에 대한 안이한 인식 때문이라고 할 수 있다. 금융회사들의 취약한 보안 관리에 경종을 울리기 위해 고객들이 공동 소송을 제기하는 등 적극적으로 피해 보상을 요구하는 것도 하나의 방법이라고 본다. 주요 카드사들의 고객 정보를 유출한 혐의로 구속된 신용평가업체 KCB 직원은 삼성카드와 신한카드 전산망에도 접근했으나 암호화 프로그램에 걸려 고객 정보를 빼내지는 못했다고 한다. 불행 중 다행이다. 그만큼 두 회사는 내부 보안통제에 신경을 쓰고 있다고 봐야 할 것이다. 금융회사들은 고객 정보 보안을 강조하면서도 정작 정보기술(IT) 부문에 대한 투자에는 인색하다는 지적을 받고 있다. 이번 외주업체 직원에 의해 발생한 사상 초유의 금융정보 유출 사건에서 보듯 아웃소싱에 따른 보안 위협은 더 이상 방관할 수 없는 심각한 과제임이 드러났다. IT 투자는 대규모 예산이 들어간다. 투자 여력이 없는 중소형 금융회사들을 중심으로 외부 용역을 주고 있는 이유이기도 하다. 고비용·저효율 구조를 타파하려면 비용 절감은 필수다. 그러나 사이버 테러 등 금융보안 위협이 갈수록 커지고 있는 상황에서 IT 운영 비용 절감에만 방점을 두는 것이 과연 타당한 것인지 따져 봐야 한다. 기업 정보의 유출 경로가 최대 150개나 된다는 조사도 있다. 일부 글로벌 기업처럼 금융회사들도 소비자 보호에 투자 우선순위를 두고 독자적인 IT 체계를 갖추는 방안을 강구할 필요가 있다.