군사 보안과 방첩을 주 임무로 하는 국군기무사령부의 기강 해이가 도를 넘고 있다. 기무사 직원이 금품을 받고 국가기밀을 파는가 하면 국가 안보의 핵심 정책이 될 수도 있는 사드(고고도미사일방어체계) 관련 문건을 중국에 유출했다는 의혹을 받아 구속되는 등 어처구니없는 일들이 연이어 벌어지기 때문이다. 이 같은 추문은 군 내부에서 수십년간 견제받지 않고 권력기관으로 자리잡으며 이른바 ‘갑질’을 해왔기 때문이라는 분석이다. 이 때문에 기무사에 대해 대대적인 쇄신이 필요하다는 지적도 나온다. 기무사는 지난 3일 국방정보보호 콘퍼런스를 열고 정부의 국정기조인 창조 국방을 실현하기 위해 사이버 안보 위협에 대응하는 기술 개발과 역량 확보가 필요하다고 강조했다. 또 군 전체를 계도한다는 입장에서 국방보안연구소의 보고서를 통해 군 내부 정보유출의 심각성, 특히 개인 컴퓨터 보안의 취약성을 문제로 지적하기도 했다. 보안을 위해 장병이 인가받지 않은 USB를 사무실 컴퓨터에 접속하는 경우, 전역 예정자가 인가된 USB에 접속해 비밀을 저장하는 경우, 지휘관이 새벽 2시와 같은 심야를 틈타 정부 업무처리 시스템에 접속하는 경우, 전역 예정자가 공휴일에 다량의 문서를 출력하는 사례 등을 주의해야 할 대상으로 분류했다. 하지만 정작 자신에게는 이 같은 보안 절차를 제대로 적용하지 않았다. 최근 불거진 사드 문건 유출 의혹 사건의 경우 인가받은 기무사 장교가 내부 인트라넷의 정보를 자신의 SD카드에 마음대로 저장해 중국 측 정보 기관 요원에게 건넨 사실이 드러났다. 기밀의 경중과 관계없이 보안망이 내부 요원의 기강 해이에 속수무책으로 뚫릴 수밖에 없는 현실을 보여준다.문제는 기무사의 기강 해이가 이것만이 아니라는 점이다. 지난 4월 기무사 군무원 변모씨 등 2명은 무기중개업체에 2급 군사기밀 등을 유출하고 1500여만원을 받아 구속됐다. 이들은 방위산업체에서 군사기밀이 유출되는 것을 막는 것을 임무로 했지만 정작 이들이 군사기밀을 유출한 것이다. 한 달 뒤에는 기무사 소속 양모 소령 등 전·현직 장교가 전략물자인 소총 탄창 3만여개를 자동차 오일필터로 위장해 레바논에 밀수출한 혐의로 구속됐다. 지난해 3월에는 경기도 파주와 백령도에서 북한의 무인기가 연이어 발견됐지만 정작 기무사령관은 국방부 장관에게 무인기와 북한의 연관 가능성을 조기에 보고하지 않아 논란이 벌어지기도 했다. 군 관계자는 8일 “견제받지 않는 무소불위의 기무사 조직에 대한 전면적 개혁이 불가피하다”고 말했다. 하종훈 기자 artg@seoul.co.kr

국내외를 막론하고 원전과 관련한 시설 및 기관은 이미 사이버 공격의 주된 타깃이 된 지 오래다. 지난 10월 국정감사에서 한국수력원자력이 제출한 자료에 따르면 2010년부터 최근까지 국내 원전 해킹 시도는 1843회에 달한다. 그동안 실제 보안시스템이 뚫려 피해가 발생한 사례는 없다는 게 한수원의 일관된 입장이지만 이번 건은 쉽사리 마음 놓을 수 없다는 지적이 잇따르고 있다. 한수원은 또 여전히 해킹된 문건들이 기밀문서는 아니라는 입장을 취하고 있지만, 이번 내부 문서 유출로 국내 원전 전반의 보안시스템에 구멍이 생겼다는 비판은 피하기 어려울 것으로 보인다. 문제는 실제 외국에서는 해킹을 통해 원자력시설이 무력화된 사례가 있다는 점이다. 2010년 이란 원전은 ‘스턱스넷’이라는 악성코드에 의해 부셰르 원자력발전소와 나탄즈 우라늄 농축시설의 핵개발용 원심분리기 2000개 중 1000여개가 파괴되는 대형사고가 발생했다. 스턱스넷은 독일 제어시스템전문개발사인 지멘스의 산업시설 운용시스템인 SCADA시스템을 공격한 뒤 임의로 제어하게 하는 악성코드다. 이란 역시 외부와는 차단된 독립 시스템으로 원전을 운영했지만, 당시 악성코드는 한 직원의 보조기억장치(USB)를 통해 내부로 침투했다. 이란은 원심분리기 1000개를 교체하느라 1년가량 원전 가동을 정지한 것으로 알려졌다. 원전 선진국인 일본에서도 원전 해킹 피해는 발생했다. 지난 1월 후쿠이현 몬주 핵발전소 내부컴퓨터가 악성코드에 감염됐다. 내부 작업자가 컴퓨터의 동영상 재생 프로그램을 업데이트한 게 문제의 발단이었다. 이후 내부에서 퍼져나간 악성코드는 해당 컴퓨터에서 5일 동안 30회 이상의 외부 접속을 수행했다. 이 과정에서 직원들의 이메일, 훈련 기록, 직원 개인정보 등 4만 2000개 이상의 문서가 유출된 것으로 알려졌다. 전문가들은 우리나라 원전 역시 사이버 안전을 장담하기는 어렵다는 반응이다. 이경호 고려대 사이버국방학과 교수는 “이란과 일본 발전소 해킹 사고의 사례처럼 원전 제어시스템이 외부와 완전히 분리된 상황에서도 사이버테러는 일어날 수 있다”면서 “이번 사태를 반면교사로 삼아 국내 원전의 보안상 허점을 보완하는 기회로 삼아야 할 필요가 있다”고 밝혔다. 유영규 기자 whoami@seoul.co.kr

한국수력원자력이 2년 전에 이미 감사원 감사에서 사이버테러에 ‘구멍’이 뚫릴 가능성이 높다는 이유로 취약한 보안에 대한 지적을 받았던 것으로 드러났다. 한수원은 이후 보완조치를 이행했다고 감사원에 통보했지만 이번 내부 자료 유출로 인해 당시 적절한 조치를 취했는지 의문이 커지고 있다. 22일 감사원에 따르면 감사원은 2012년 12월 5일 공개한 ‘국가핵심기반시설 위기관리실태’ 감사결과보고서에서 원전 감시제어시스템을 비롯해 내부 시스템이 사이버테러에 취약하다고 지적했다. 당시 감사 결과 한수원은 원전 전용망과 총무·인사·회계 등 일반 업무 처리를 위한 내부망을 연결해 사용하고 있었다. ‘국가 정보보안 기본지침’ 등 관련 법령은 원전 전용망을 다른 전산망과 분리, 운영해야 한다고 규정하고 있지만 한수원은 일부 직원이 업무 편의를 위해 임의로 두 시스템을 연결해 사용하고 있었다. 특히 내부망에 연결된 컴퓨터에서 원전 전용망 자료를 전송받는 등 두 전산망에 중복 접속한 사례가 88건이나 있었다. 아울러 원전 전용망은 무선 네트워크 접속을 차단해야 하지만 실제로는 스마트폰이나 무선랜 카드를 사용해 무단으로 인터넷에 접속할 수 있는 등 차단조치를 제대로 이행하지 않았다. 한수원은 USB 메모리 사용 시 관리대장에 등록하고 컴퓨터 연결 시 자동실행을 차단해야 하는 규정도 지키지 않았다. 감사원이 고리원자력본부 제1발전소의 원전 전용망 컴퓨터 두 대를 표본 점검한 결과 개인 USB 메모리를 자동실행하면서 악성코드에 감염된 사례도 확인했다. 인가받지 않은 메신저나 파일공유 프로그램 등 업무상 불필요한 프로그램을 차단해야 하지만 역시 업무편의 등의 이유로 방치하고 있었다. 강국진 기자 betulo@seoul.co.kr

정윤회씨 국정개입 문건 의혹에 대한 검찰 수사가 본격화되자 경찰은 불편한 기색이 역력하다. 최근 정보 수집에 의욕을 보여 왔던 검찰이 이번 수사 목적 외에 다른 의도를 갖고 경찰 정보라인을 샅샅이 들여다보려는 것 아니냐는 의심을 품고 있다. 검찰은 3일 문건 작성자로 알려진 박모(48) 경정과 관련된 장소를 동시다발적으로 압수수색하며, 특히 박 경정이 근무하는 서울 도봉경찰서 정보보안과 사무실과 서울지방경찰청 정보분실을 집중적으로 뒤졌다. 도봉서 사무실에서 컴퓨터 하드디스크, 이동식저장장치(USB)와 관련 서류는 물론이고 정보분실에서도 각종 서류와 복사 기록, 컴퓨터 하드디스크 등을 확보했다. 정보분실 정보관 3명의 자택까지 압수수색하고 이 중 2명은 임의동행으로 조사했다. 검찰은 작성에서부터 이동 경로 등 문건 유출 의혹과 관련된 부분을 전체적으로 들여다보겠다는 입장이다. 그러나 경찰 일각에선 과도한 압수수색이 아니냐며 볼멘소리가 나오고 있다. 일선서의 한 정보과 형사는 “정보분실은 외근 근무자들이 수집한 각종 정보가 1차로 모이는 곳”이라며 “자칫 서울청 경찰이 모은 정보가 그대로 검찰에 노출될 수 있다”고 우려했다. 정보분실은 박 경정이 청와대 파견이 끝난 뒤인 지난 2월 10일 자신의 짐이 담긴 쇼핑백과 상자를 잠시 가져다 놓은 곳으로 정보분실 관계자가 문제의 문건을 복사해 유출했다는 의혹이 제기된 장소다. 경찰은 다른 장소로 압수수색 불똥이 튀는 상황을 우려하고 있다. 검찰이 이번 사건 문건 외에 청와대 내부 문건과 비슷한 또 다른 자료를 확보하면 타 분실 등으로 압수수색을 확대할 가능성도 배제할 수 없다는 것이다. 서울 지역에서 활동 중인 외근 정보과 형사 600여명을 전수조사할 것이라는 ‘괴담’도 나돈다. 한 정보과 형사는 “특수부에 사건을 맡겨서 문건 유출로 시선을 돌리면서 경찰이 가진 정보도 확보할 좋은 기회 아니겠느냐”고 말했다. 이성원 기자 lsw1469@seoul.co.kr

정윤회씨 국정개입 의혹 문건 작성자로 알려진 박모(48) 경정이 4일 오전 9시 30분 검찰에 출석해 조사를 받는다. 박 경정은 3일 변호인인 정윤기(56·사법연수원 17기) 변호사를 통해 검찰에 이 같은 의사를 전달했다. 앞서 서울중앙지검 특수2부(부장 임관혁)는 정 변호사를 통해 박 경정에게 이번 주 내 소환을 통보했다. 검찰은 이날 박 경정의 근무지인 서울 도봉경찰서와 박 경정이 청와대에서 경찰로 복귀할 때 짐을 갖다 놓았던 서울 중구 예장동의 서울지방경찰청 정보1분실, 서울 노원구의 박 경정 자택과 정보분실 정보관 3명의 자택 등 6곳에 검사와 수사관 30여명을 보내 전격 압수수색했다. 검찰은 각종 자료와 복사 기록, 컴퓨터 하드디스크, 이동식저장장치(USB) 등을 확보해 분석 중이다. 정보분실 정보관 2명도 임의동행해 문건 유출 의혹에 대해 조사했다. 검찰은 박 경정을 피의자 신분으로 불러 문건 작성 경위와 유출 여부 등을 조사한 뒤 공무상 비밀누설 혐의 등이 확인되면 구속영장을 청구해 신병을 확보할 방침이다. 박 경정은 언론 인터뷰 등을 통해 유출 혐의를 전면 부인해 왔다. 검찰은 박 경정에 대한 조사를 마치는 대로 그의 상관으로 현재 출국 금지된 조응천 전 청와대 공직기강비서관, 홍경식 전 청와대 민정수석비서관 등을 불러 문건 작성 경위와 보고 여부 등을 조사할 계획이다. 한편 명예훼손 고소 사건을 수사 중인 서울중앙지검 형사1부(부장 정수봉)는 조만간 이재만·정호성·안봉근 비서관 등 청와대 관계자들을 불러 고소인 조사를 벌이기로 하고, 소환 날짜 등을 조율하고 있는 것으로 전해졌다. 정윤회씨는 이날 세계일보 관계자들을 출판물에 의한 명예훼손 등 혐의로 고소하며 법률 대리인인 이경재 변호사를 통해 “검찰 수사에 적극 협조하겠다”면서 “신속한 수사를 통해 각종 의혹과 낭설이 소멸되기를 고대한다”고 밝혔다. 김양진 기자 ky0295@seoul.co.kr

‘정윤회 국정개입’ 문건 논란이 장외 폭로전으로 치닫고 있다. 문건의 작성자인 박모 경정, 문건의 주인공으로 숨은 실세로 알려진 정윤회씨에 이어 박 경정의 청와대 재직 시절 직속 상관이었던 조응천 전 청와대 공직기강비서관까지 사실 공방에 뛰어들었다. 박 경정의 주장에 정윤회씨가 조작이라고 맞서고 있고, 조 전 비서관은 60% 이상의 신뢰도를 부여했으며, 청와대는 ‘팩트는 0%’로 평가하는 등 저마다의 ‘진실’이 충돌하고 있다. 검찰의 본격 수사를 앞두고 국면을 자신들에게 유리하게 가져가려는 포석으로도 해석된다. 이런 가운데 청와대 일각에서는 이들의 주장에 더해 다른 사실관계들도 대두되고 있다. 2일 청와대 관계자 및 사건 당사자들의 주장 등을 종합해 재구성해 보면, 사건의 본격적인 발단은 소셜네트워크서비스(SNS)의 하나인 ‘카톡’이었던 것으로 보인다. 올 초 청와대는 ‘카톡’을 통해 유통되는 청와대 관련 찌라시에 크게 민감한 상태에 이르렀다. 김기춘 비서실장 교체설을 비롯해 시시콜콜한 청와대의 일들이 카톡을 통해 여의도 정당판으로, 증권가로 나돌았다. 범인 색출에 나선 청와대는 최초 유포처가 청와대 내부이고, 경찰 파견자 가운데 하나라고 파악했으며 박 경장을 그 핵심으로 압축했다. 당시 실세로 꼽히던 모 수석은 조응천 비서관에게 박 경정을 원대 복귀시킬 것을 직접적으로 요구했다고도 한다. 주변에서는 조 비서관에게 ‘박 경정을 감쌀 이유가 없다’고까지 권고했으나, 조 비서관은 자신이 영입한 박 경정을 옹호하며 이를 받아들이지 않았다. 결국 다각적인 ‘압박’으로 지난 1월 박 경정을 원대 복귀시키면서 서울지방경찰청 정보분실로 옮겨 가도록 주선했으나, 어떤 이유에서인지 불발됐고 이후 국무총리실로 가려던 시도도 성공하지 못한 채 결국 일선서로 배치됐다. 이 과정을 박 경정은 김기춘 비서실장의 지시에 의한 것으로 이해했고, 주변에 불만을 토로했으며 조 비서관과의 관계도 상당 부분 틀어진 것으로 전해진다. 갈등은 여기가 끝이 아니었다. 지난 4월 세계일보가 청와대 행정관 감찰보고서를 보도하면서 긴장은 폭발했다. 실세 수석을 비롯해 곳곳에서 책임 추궁이 이어졌고 조 비서관은 청와대를 떠나지 않을 수 없게 됐다. 이즈음만 해도 청와대는 자료가 대량 유출됐다는 사실을 알지 못했다. 관련 보도가 ‘문건’을 기반으로 한 것을 확인한 청와대는 문건 유출을 조사했으나 결정적인 증거는 확보하지 못한 것으로 알려진다. 그러던 중 청와대는 지난 7월 1일자로 민정수석실 행정관에 대한 대대적인 교체를 단행한다. 오후 4시를 기해 컴퓨터의 비밀번호를 바꾸고 검찰 및 경찰수사관 17명에게 원대 복귀를 지시했고, 당사자들은 영문도 모른 채 관계자의 입회 아래 2시간 내로 짐을 싸야 했다. 당시 청와대에서는 앞서 원대 복귀한 행정관 가운데 일부가 문건을 유출한 사실을 들먹이며 청와대를 협박했다는 소문도 나돌았다. 문건 유출을 놓고 관계자들의 주장이 엇갈리는 이유도 여기에 있다. 청와대는 박 경정을 특정해 검찰에 수사 의뢰할 정도로 박 경정을 의심하고 있지만 조 전 비서관과 박 경정은 이를 적극 부인하고 있다. 조 전 비서관은 “지난 5~6월 민정에 올라간 한 문건에는 제3자가 범인으로 지목돼 있다. 나는 당시 사퇴한 뒤였기 때문에 평소 친분이 있는 청와대 고위 관계자에게 빨리 조사해 조치를 취하라고 건의했지만 아무런 답이 없었다”고 주장했다. 청와대는 문건이 USB로 유출된 것으로 잠정 결론 내린 것으로 전해진다. 이런 가운데 이날 정윤회씨가 다시 KBS를 통해 인터뷰를 시도하고 나서는 등 진실공방은 점입가경 양상를 보이고 있다. 정씨는 이재만, 안봉근 비서관과의 통화 사실을 언급했으며, 청와대는 조 전 비서관이 “지난 4월 11일 이재만 총무비서관이 내게 전화를 걸어 ‘(정윤회씨의) 전화를 좀 받으시죠’라고 했다”고 한 데 대해 민경욱 대변인을 통해 사실이라고 인정한 뒤 “그러나 만난 적은 없다”고 밝혔다. 이지운 기자 jj@seoul.co.kr 김양진 기자 ky0295@seoul.co.kr

원전의 내부 전산망에 접속 가능한 아이디(ID)와 비밀번호가 용역업체 직원에게 유출된 사례가 다수 적발됐다. 산업통상자원부는 전남 영광의 한빛원전과 부산 기장군의 고리원전에 대한 보안감사 결과를 3일 발표했다. 감사 결과에 따르면 한수원 직원 19명의 아이디와 비밀번호가 두 원전에서 근무 중인 용역업체 직원들에게 유출됐다. 용역업체 직원들은 이 정보로 전산시스템에 접속해 작업허가서를 승인하고 폐기물 반출허가도 내렸다. 한수원 직원이 직접 해야 할 일을 용역업체 직원에게 맡기면서 아이디와 비밀번호까지 일러준 것이다. 산업부는 원전의 근무 인력 부족이 문제의 발단이라고 지적한다. 용역업체 직원들은 주로 방사성 폐기물 처리 업무를 담당하는데 이를 관리·감독하는 한수원 직원은 4명이 3교대로 일한다. 개별 발전소를 관리하는 한수원의 인원은 1명에 불과했다. 원전 보안 시스템에도 각종 문제가 드러났다. 원전 내 폐쇄회로(CC) TV는 설치 근거 없이 운영되고 있을 뿐 아니라 영상물 저장기간도 지정하지 않았다. 식사 배달 차량이 원전 내 보안구역을 수시로 출입했고 협력업체 직원이 승인받지 않은 보조기억장치(USB)에 업무자료를 저장하고 다니는 등 보안관리가 부실한 것으로 나타났다. 산업부는 아이디 및 비밀번호 유출에 대한 추가 조사를 벌여 관련자 전원을 엄중 문책할 방침이다. 또 원전 내 용역업체 업무 범위를 재조정하는 한편 전산기록 설정 기간이나 CCTV 영상물 보관기간 연장, 노후 CCTV 교체 등도 추진할 방침이다. 유영규 기자 whoami@seoul.co.kr

‘경찰 불법 소프트웨어’ 경찰 불법 소프트웨어 사용 논란이 일고 있다. 경찰이 대다수 업무용 컴퓨터에 불법으로 복제된 소프트웨어를 설치해 쓰고 있는 것으로 드러났기 때문이다. 더구나 불법 복제 소프트웨어는 보안에 워낙 취약해서 경찰의 수사정보가 새나갈 우려도 크다는 지적이 나온다. 24일 MBC는 경찰이 업무용 컴퓨터에 설치한 윈도 프로그램을 정품이 아닌 복제품을 쓰고 있다고 보도했다. 경찰은 현재 수사기록 등을 관리하는 경찰 전용 내부망과 외부 인터넷망을 동시에 쓸 수 있도록 해주는 ‘네트워크 전환 장치’를 업무용 컴퓨터에 쓰고 있다. 그러나 경찰의 구입내역서에 따르면 전환장치는 매년 8000여대씩 구입한 반면 외부 인터넷을 구동시키는 윈도 프로그램 구입 기록은 없다. 이 장치를 통해 연결되는 윈도 프로그램은 정품이 아니라 복제품인 셈이다. 경찰이 불법 복제품을 쓰는 것 자체도 문제지만 더 큰 문제는 개인정보 유출 가능성이다. 불법 소프트웨어가 깔린 국내 컴퓨터의 47%에서 악성코드가 발견됐고 이 악성코드는 대부분 개인정보 유출에 이용되고 있다. 복제된 윈도를 쓰고 있는 경찰 컴퓨터의 외부망으로 악성코드가 들어와 내부망으로 옮겨진다면 최악의 경우 경찰의 수사 정보들이 고스란히 밖으로 유출될 수 있다. IT 업계 관계자는 “감염된 파일이 USB 같은 매체를 통해 내부망으로 유입되면, 그 내부망을 타고 각 컴퓨터에 (악성코드가) 확산될 수 있다”고 지적했다. 전국에 보급된 112 신고 시스템도 5만대 가운데 약 2000대에만 정품 윈도가 설치된 것으로 나타났다. 국회 안전행정위원회 윤영석 의원은 “불법 소프트웨어를 단속해야 할 경찰이 이러한 불법적인 것을 사용하면 국민들이 신뢰하지 못할 것”이라고 말했다. 경찰은 윈도 프로그램이 설치된 상태의 네트워크 전환장치를 구입한 것이라고 설명하고 해당 윈도가 불법으로 복제된 것인지 여부를 조사하겠다고 밝혔다. 온라인뉴스부 iseoul@seoul.co.kr

정부가 내부적으로 공식입장도 정하지 못한 법안을 최경환 경제부총리의 대(對)국회 조속 입법 촉구 담화에 포함시킨 것으로 28일 서울신문 확인 결과 드러났다. 정작 야당이 아닌 정부 스스로가 발목을 잡은 꼴이다. 최경환 경제팀의 ‘경제·민생 드라이브’가 졸속으로 추진되고 있는 단면이 아니냐는 지적이 제기될 만하다. 올해 초 카드 3사의 개인정보 8500만건 유출 뒤 제출된 신용정보법 개정안은 국회 정무위원회에 계류돼 있다. 최 부총리는 지난 26일 담화에서 “여야 간 합의가 됐는데 처리되지 않는 것이 서글픈 현실”이라며 개정안 처리를 촉구했다. 그러나 일주일 전인 19일 국회 정무위 회의록(아래)에 따르면 입장을 정하지 못해 추가 검토를 하게 된 쪽은 금융위원회, 즉 정부였다. ●김기식 새정치민주연합 의원 방송통신위원회 동의하에 국회 본회의를 통과해 11월 29일부터 시행되는 정보통신망법에서는 ‘개인정보 분실, 도난, 누출 시 정보통신 제공자가 고의나 과실이 없음을 입증 못하면 이용자가 300만원 이내 손해액으로 배상을 청구할 수 있다’고 정했다. 이처럼 SK텔레콤, KT 등 통신사 고객들은 정보를 유출당하기만 하면 배상을 청구할 수 있게 제도를 설계했는데, 금융사 대상 신용정보법에서는 안 하겠다고 한다. 정부 부처마다 입장이 다를 수 있나. ●정찬우 금융위 부위원장 부처 간 이견이 있는 것처럼 비쳐 유감이다. 정보통신망법이 통과된 시기는 ‘범정부 태스크포스(TF)’의 최종안 발표(7월 31일) 이전이라 그렇다. ●정우택 정무위원장(새누리당) 그렇다면 정보통신망법과 범정부TF 최종안이 다른데 정부가 어떻게 대처할지, 정보통신망법 개정안을 낼 것인지 정부 나름대로 회의를 해 안을 마련해 오기 바란다. 정보통신망법과 범정부TF에 충실한 신용정보법이 양립하면, 온라인 해킹으로 인한 금융사 개인정보 유출 시에만 배상 청구가 수월해진다고 김 의원은 주장했다. 반면 USB 등을 활용한 유출 사고에서는 배상 청구에 어려움이 예상되는데, 이 같은 모순의 이유는 부처 간 조율이 덜 됐기 때문이란 설명이다. 최 부총리의 촉구 법안인 ‘송파 세 모녀법’에 대해서도 야당은 강한 비판을 내놓고 있다. 국회 보건복지위원회 소속 김성주, 인재근, 이목희 의원은 “전문가들은 비수급빈곤층을 500만명으로 보는데 정부는 40만명 추가분에 대한 예산 2300억원만 편성해 입법을 촉구하고 있다”면서 “최 부총리 주장대로 처리된다면 기초생활보호 수급 기준을 행정부 임의로 변경할 수 있는 악법이 탄생할 것”이라고 주장했다. 홍희경 기자 saloo@seoul.co.kr

지난해 12월 한국씨티은행과 SC은행에서 13만 7000여건의 고객정보가 유출된 것이 사건의 시작이었다. 넉 달 뒤인 지난 10일에는 같은 은행에서 5만건의 고객정보가 추가 유출됐다는 사실이 드러났고 그로부터 사흘 뒤에는 씨티캐피탈과 IBK캐피탈에서 3만 4000여건의 정보가 새어 나갔다는 소식이 들려왔다. 이쯤 되면 궁금해진다. 창원지검이 불법 대출업자로부터 압수한 이동식저장장치(USB)가 화수분도 아닌데 몇 달 간격으로 새어 나오는 고객 정보의 정체는 과연 무엇일까. 그 USB에는 얼마나 더 많은 고객정보가 들어있을까. 정답은 복잡한 숫자 계산법, 그리고 그 상황을 중계하듯 새로운 숫자가 나올 때마다 이어지는 ‘조각 발표’에 있다. 검찰은 앞서 USB에서 발견한 IBK캐피탈 고객 5만 5000건, 씨티캐피탈 10만건의 유출 정보를 금융감독원에 통보했다. 금감원은 이 정보 가운데 출처가 중복된 것, 금융사에서 빠져나온 것인지 출처가 불분명한 것들을 제하고 최종적으로 두 회사에서 각 1만 7000건씩 모두 3만 4000건의 캐피탈사 정보가 빠져나갔다고 결론 내렸다. 이마저도 IBK캐피탈에서 빠져나간 2만 2000건의 정보 가운데 5000건은 과거 해킹사건으로 이미 한 번 유출됐던 정보라 ‘2만 2000건-5000건=1만 7000건’이라는 셈법을 거쳤다. ‘15만 5000건’과 ‘3만 4000건’의 간극은 여기에 있다. 같은 지검에서 수사한 카드 3사의 1억여건 고객정보 유출 사건도 비슷한 과정을 거쳤다. 지난 1월 8일 창원지검은 롯데카드에서 지난해 12월 2600만건, 2012년 10~12월에 농협카드에서 2500만건, 지난해 6월 국민카드에서 5200만건이 각각 유출됐다고 발표했다. 검찰은 그로부터 2개월 뒤인 지난달 14일 이번에는 2011년 1월 롯데카드에서 250만건, 2012년 6~7월에 농협카드에서 2430만건, 지난해 2월 국민카드에서 5370만건이 흘러나갔다는 수사결과를 내놨다. 시점이 달라 정보가 추가로 빠져나간 것 아닌지 불안감이 커졌다. 금융당국이 검찰 자료를 넘겨받아 일일이 대조해본 결과 롯데카드에서 빠져나간 것은 1차 발표 때와 모두 중복된 정보였다. 농협카드에서는 기존에 정보가 빠져나갔던 고객 가운데 3만 5000명의 유출 항목이 2~3개 추가됐다. 새롭게 빠져나간 고객정보는 KB국민카드 가맹점 회원 정보 14만건으로 줄었다. 발표 때마다 유출 정보 건수 숫자가 바뀌는 통에 아무리 숫자에 밝은 고객이라도 헷갈릴 수밖에 없다. 압수한 USB 속에 담긴 수백만건의 정보 가운데 조각조각 흩어져 있는 고객들의 정보를 짜맞추고 이 가운데 겹치는 고객 정보를 빼고 추린 건수라는 장황한 설명은 금세 잊혀진다. 개인정보 유출에 별다른 대응을 하지 않는 고객들의 피로감을 ‘정보 안전 불감증’으로 보기 어려운 이유다. 쏟아져 나오는 숫자 사이에서 고객들의 귀를 닫게 만든 것은 실적을 의식하지 않을 수 없는 검찰과 금융당국의 반복된 발표, 이어지는 금융사들의 쏟아지는 해명 아닐까. sam@seoul.co.kr

한국씨티은행과 한국SC은행에서 고객 정보 5만건이 추가 유출됐다. 지난해 12월 유출된 고객 정보 13만 7000건을 합치면 모두 19만건으로 늘어난다. 이 정보들은 이미 대출중개업자 등을 통해 시중에 흘러 나간 것으로 파악되고 있다. 2차 피해가 발생한 만큼 보이스피싱 등 금융 사기에 더욱 각별한 주의가 요구된다. 10일 금융권에 따르면 창원지검이 씨티은행과 SC은행의 고객 정보 유출 사건을 수사하는 과정에서 불법 대출업자에게 압수한 이동식저장장치(USB)에서 발견된 고객 정보 300여만건을 금융감독원이 분석한 결과 5만여건의 추가 유출이 확인됐다. SC은행 4만건, 씨티은행 1만건 등이다. 추가 유출된 고객 정보는 성명과 전화번호, 직장명 등 단순 정보이고 카드 유효기간과 비밀번호 등 민감 정보는 포함되지 않은 것으로 알려졌다. 금융 당국 관계자는 “USB를 토대로 300만건을 분석해 보니 대부분 금융권과 상관없는 정보였다”면서 “금융사와 관련된 부문은 SC은행과 씨티은행의 추가 유출 정보였으며 5만건 정도였다”고 밝혔다. 한편 씨티은행은 지난해 12월 유출된 고객 정보 중 1912건이 보이스피싱에 이용된 사실을 인정했다. 앞서 강북경찰서는 보이스피싱 국내 조직이 유출된 고객 정보를 이용해 고금리 대출을 저금리 대출로 바꿔 주겠다며 10여명을 속여 수천만원을 가로챘다고 밝혔다. 씨티은행은 고객 정보 유출로 피해가 발생하면 전액 보상할 방침이다. 씨티은행 측은 “고객 정보 추가 유출 건은 계속 확인해 개별 공지할 계획”이라면서 “경찰에 확인해 본 결과 정보가 유출된 사람 가운데 보이스피싱 피해를 당한 고객은 3명으로 보상하겠다”고 말했다. 김경두 기자 golders@seoul.co.kr

고객 정보 8270만건이 시중에 유통된 것으로 뒤늦게 드러나면서 2차 피해 우려가 커지고 있다. 특히 KB국민카드 고객 5370만건, NH농협카드 고객 2430만건이 대출중개업자의 손에 들어가면서 ‘보이스피싱’ 등 각종 금융 사기에 노출될 가능성도 커졌다. 지금까지 카드사 고객 정보의 2차 유출은 없었다고 밝혀 온 금융 당국의 ‘장담’은 ‘허언’이었음이 확인됐다. “시중에 유통된 정보는 없다”고 단언했던 만큼 금융 당국의 신뢰는 땅에 떨어지게 됐다. 이미 여러 차례 거론됐던 ‘경제팀 물갈이’는 이제 피할 수 없게 된 게 아니냐는 지적에도 힘이 실리고 있다. 언론이 여러 차례에 걸쳐 유출된 카드 3사의 고객 정보가 시중에 유통됐을 가능성을 지적했지만, 현오석 부총리 겸 기획재정부 장관, 신제윤 금융위원장, 최수현 금융감독원장은 모두 한목소리로 “카드 3사의 유출 정보는 시중에 유통되지 않았다”고 단언해 왔다. 황교안 법무부 장관도 마찬가지였다. 14일 검찰과 금융권에 따르면 카드사 고객 정보가 시중에 유출된 정황은 창원지검 특수부가 코리아크레딧뷰로(KCB) 전 직원 박모(39)씨와 최초 유통자인 광고대행업자 조모(36)씨 등을 추가로 수사하는 과정에서 밝혀졌다. 검찰은 지난 1월 중간수사 결과 발표 당시 박씨와 조씨로부터 고객 정보 원본이 담긴 이동식저장장치(USB)와 복사본을 모두 압수해 시중에 추가로 유통되지 않았다고 밝혔지만, 실제 박씨가 조씨에게 넘긴 정보는 밝혀진 것보다 8050만건이 더 많았다. 당초 110만건의 고객 정보를 넘겨받은 것으로 밝혀져 불구속 기소된 대출중개업자 이모(36)씨도 당초 알려진 것에 비해 70배가 많은 7800만건의 정보를 넘겨받아 이를 대출영업에 활용한 사실이 적발됐다. 이번에 구속된 대출중개업자 김모(34)씨와 한모(34)씨가 조씨로부터 건네받은 고객 정보 470만건은 어느 카드사로부터 빠져나온 것인지조차 파악되지 않아 카드사별 정확한 유통 규모는 가늠조차 할 수 없는 상태다. 카드업계에서는 당초 박씨가 카드 3사로부터 빼돌렸다고 알려진 1억 400여만건보다 앞서 8050만건의 고객 정보를 빼낸 사실에 대해 당혹스럽다는 반응을 보였다. 박씨가 검찰 조사와 지난달 국정조사 청문회에서 카드 3사의 카드 위변조 탐지시스템(FDS) 구축 과정에서 고객 정보를 대량으로 빼돌렸다고 진술한 것과 달리 수십~수백만건에 이르는 고객 정보를 수시로 유출했다는 것을 방증하기 때문이다. 일각에서는 이씨 등 대출중개업자들이 유통시킨 정보 가운데 일부가 서울 등 수도권에서 활동하고 있는 불법 대환대출업자, 카드깡업자에게까지 흘러간 것으로 추정하고 있다. 업계 관계자는 “박씨가 각 카드사로부터 테스트 샘플로 받아 간 고객 정보를 100만~200만건씩 수시로 빼돌렸다는 이야기도 나온다”면서 “신용 정보를 바탕으로 급전이 필요한 사람들에게 접근하는 카드깡업자에게까지 이 정보가 흘러들어 갔을 것으로 보고 있다”고 말했다. 그동안 추가 유출 가능성을 전면 부인했던 금융 당국은 난처한 처지에 놓였다. 금융권 관계자는 “유출된 카드사 고객 정보가 이미 DB 브로커 사이에서 고급 정보로 거래되고 있었다”면서 “금융권 사람들도 아는 이야기를 금융 당국이 몰랐을 리 없고, 몰랐다면 그것 자체도 문제이고 알면서도 감춘 것이라면 더 큰 문제”라고 지적했다. 지난 10일 정부 합동으로 ‘개인정보 유출 재발 방지 종합대책’을 발표한 것도 정부 스스로 망신을 자초했다는 지적도 나온다. 금융업계 관계자는 “검찰 수사 상황도 제대로 알아보지 못하고 대책을 발표한 꼴”이라면서 “이미 대책을 발표한 만큼 추가로 대응할 수 있는 일이 있겠느냐”고 꼬집었다. 윤샘이나 기자 sam@seoul.co.kr 김진아 기자 jin@seoul.co.kr

금융사가 수집하는 개인정보 필수 항목 수가 대폭 줄어들 전망이다. 고객의 동의 없이 제3자에게 고객정보를 제공한 사실이 적발되면 ‘징벌적 과징금’을 부과하는 방안도 추진된다. 대출을 권유하는 문자메시지 발송은 원칙적으로 금지하기로 했다. 금융위원회는 13일 국회 정무위에서 진행된 ‘개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사’ 기관보고에서 이러한 대책을 내놨다. 보고 내용에 따르면 금융사는 이름, 주민번호 등 식별번호, 주소, 연락처, 직업군, 국적 등 6개만 필수항목으로 수집할 수 있다. 선택 항목은 신용도와 상환능력 판단에 필요한 소득, 재산, 연령 세 가지로 제한된다. 이외 결혼기념일, 관심사 등 불필요한 30~50개의 개인정보는 원칙적으로 수집이 금지된다. 개인정보를 영업활동에 불법으로 활용하면 관련 매출액의 1%를, 관리 소홀 등으로 유출하면 50억원을 각각 상한선으로 하는 과징금을 매기기로 했다. 이날 정무위원들은 금융당국 수장 등을 상대로 개인정보 유출로 인한 2차 피해 여부를 집중적으로 추궁했다. 그러나 의미 없는 질타와 뻔한 대답만 난무하면서 소득 없는 뒷북 조사에 불과하다는 지적이 나왔다. 강석훈 새누리당 의원은 “신용과 신뢰의 근간을 뒤흔든 대형 핵폭탄이 터진 것”이라면서 “최초 유포자가 USB를 여러 개 복사해 유포했을 가능성이 없느냐”고 물었지만, 신제윤 금융위원장은 “2차 피해 사례가 접수되지 않았다”고만 답했다. 김기식 민주당 의원은 “카드사 내부 직원의 공모 여부 수사에서 검찰이 다른 직원에 대한 참고인 조사를 하지 않았다”면서 “수사의 ABC도 지키지 않은 부실, 축소 수사가 아니냐”며 사법부를 겨냥했고, 황교안 법무부 장관은 “수사상 필요한 조치를 모두 취했다”고 짧게 답변했다. 국회 미래창조과학방송통신위에서 진행된 ‘개인정보보호 및 피해확산 방지를 위한 입법청문회’에서는 의원들이 정보유출 피해 방지안을 앞다퉈 쏟아냈지만 새롭지 않다는 평가가 나왔다. 이영준 기자 apple@seoul.co.kr 김경두 기자 golders@seoul.co.kr

카드사의 개인정보 유출 사태를 국정조사 중인 국회 정무위원들에게 농협카드 임원이 “저희가 피해자”라고 발언해 여야 의원들의 호된 질타를 받았다. 7일 서울 중구 충정로 농협카드 본사에서 이뤄진 정무위의 현장검증에서다. 국회 정무위원들은 현장검증에서 카드사의 부실한 2차 피해대책에 대해서도 집중 추궁했다. 민주당 이상직 의원이 이날 “농협은 ‘한국크레딧뷰로(KCB) 직원 박모씨가 자료를 가지고 왔다’며 박씨만 희생양을 삼고 있는데 내부 점검을 해 봤느냐”고 질문하자 이신형 NH농협카드 분사장은 “저희들도 엄밀히 말해 피해자다”라고 답해 눈총을 받았다. 신용정보사인 KCB 파견 직원이 USB로 정보를 빼간 것이기 때문에 농협카드도 이 같은 행위의 피해자라는 논리다. 현장검증은 이 분사장 발언으로 삽시간에 성토장으로 바뀌었다. 이 의원은 “국민이 피해자이지 농협카드가 피해자가 아니다. 승인한 직원이 있는데…”라고 비판했다. 새누리당 박민식 의원은 이 분사장에게 “현오석 경제부총리도 발언을 잘못해서 질타를 받고 있는데 국정조사 현장에서 많은 국민들한테 그런 발언은 상처를 줄 수 있다”며 사과할 것을 요구했다. 이 분사장은 곧바로 “사과하겠다. 앞으로 이런 일이 없도록 하겠다”고 인정했다. 이날 피해자 발언은 전남 여수 기름 유출 사고에 대해 “GS칼텍스가 1차 피해자이고 어민이 2차 피해자”라는 실언으로 경질된 윤진숙 전 해양수산부 장관과 비교되기도 했다. 민주당 김기식 의원은 농협카드가 그런 일이 없게끔 해야 하는데 스스로 피해자라고 하는 것은 말이 안 된다는 취지로 추궁했다. 이 분사장은 “박씨에 대해 (농협카드가) 피해자라는 것”이라며 거듭 사과했다. 이영준 기자 apple@seoul.co.kr

카드사의 대규모 고객정보 유출 사태로 불똥을 맞은 은행들이 부랴부랴 정보 보안 강화에 나섰다. 현장에서는 내부 직원들의 정보보안 의식보다 규제 강화에 초점을 맞춘 땜질식 처방이라는 지적도 나온다. 5일 금융권에 따르면 최근 KB국민은행과 농협은행 등 상당수 시중은행들은 직원의 업무용 컴퓨터에 고객 정보를 직접 저장할 수 없도록 클라우드 시스템을 구축하고 있다. 클라우드 시스템이 갖춰지면 고객 개인정보 등 민감한 정보를 중앙 컴퓨터 또는 온라인 공간에 저장해 놓고 직원들은 각자의 컴퓨터에 정보를 저장하지 않고도 이를 내려받아서 사용할 수 있다. 국민은행 관계자는 “클라우드 방식을 갖춰 직원들이 조회하는 것만 허용하도록 하는 안을 검토하고 있다”고 말했다. 농협은행 역시 정보기술(IT)본부와 중앙본부의 컴퓨터를 클라우드 시스템으로 바꾸고, 모든 은행 컴퓨터의 개인정보 취급 여부를 모니터링할 계획이다. 직원 컴퓨터에 고객의 개인정보가 저장되는 것을 막기 위해 우리은행은 앞으로 직원이 필요할 경우 부서장 승인을 받아 최대 3개월까지만 자신의 컴퓨터에 고객정보를 저장해놓을 수 있도록 규정을 만들었다. 이동식 저장장치(USB)나 이메일을 이용해 정보를 바깥으로 가지고 나가는 절차도 까다로워진다. 신한은행 본점에서는 보안본부 직원이 입회한 경우에만 USB를 사용할 수 있고, 지점에서는 보안본부가 원격 시스템으로 USB 사용을 모니터링한다. 하나은행은 USB를 사용하거나 첨부파일이 있는 이메일을 외부로 보낼 때는 반드시 고객정보보호부의 승인을 받도록 했다. 깐깐해진 은행 내부의 정보보안에 대해 내부에서는 회의 섞인 목소리도 나오고 있다. 정보보호에 대한 인식은 그대로인데 규제만 강화하는 꼴이기 때문이다. 한 은행의 IT부서 관계자는 “굵직한 사건이 터지면 그제서야 절차를 늘리고 규제를 두는 경우가 많은데 정작 현장에서 업무를 하는 직원들의 보안의식을 높이기 위한 교육은 이뤄지지 않고 있다”고 말했다. 윤샘이나 기자 sam@seoul.co.kr

2011년 농협 전산망 마비와 현대캐피탈 해킹 사건, 지난해 농협·신한은행 등을 상대로 한 3·20 사이버테러 등 굵직한 사건이 터질 때마다 국내 금융사들은 보안 태세 점검과 강화를 외쳐 왔다. 그러나 금융사들은 지난 몇 년 동안 곳간 문 앞 울타리를 한 겹 더 쳤을 뿐 울타리에 작은 틈만 하나 생겨도 안에 든 재물을 속수무책으로 털리는 허점을 고스란히 드러냈다. 상당수 금융사가 개인 식별 정보 암호화 등의 근본적인 보안 강화 작업을 미뤄 왔기 때문이다. 실제로 이번 사태를 빚은 KB국민카드, 롯데카드, NH농협카드를 비롯한 카드사와 은행권의 개인 정보 암호화는 밑바닥 수준인 것으로 드러났다. 금융사들은 개인정보보호법에 따라 2012년 12월까지 주민등록번호, 비밀번호 등의 고객 식별 정보가 유출, 분실되지 않도록 암호화하는 작업을 완료했어야 했지만 이를 이행한 곳은 거의 없다. 개인 정보 데이터베이스(DB)를 암호화하면 정보가 유출되더라도 식별이 불가능하다. 지난해 국정감사에서 김영주 민주당 의원이 금융감독원으로부터 받은 자료에 따르면 금융사 103곳 중 절반 이상인 60개 기관이 개인 정보를 암호화하지 않았다. 17개 시중은행 가운데 암호화를 완료한 은행은 전북은행 한 곳이었다. 정보 유출 사태를 빚은 카드 3사도 고객 식별 정보를 암호화하지 않은 상태로 보관하고 있었다. 다른 카드사들도 사정은 마찬가지다. 삼성카드와 하나SK카드, 비씨카드 등은 고객 개인 정보에 대한 암호화 작업을 해 둔 상태지만 일부 시스템에만 적용돼 있다. 카드사의 한 관계자는 “그동안은 내부적으로 예산 제약이나 타당성 검토 등의 여러 가지 이유로 고객 DB 전면 암호화를 시작하지 못했는데 최근 여러 기술보안 업체에 상담을 의뢰해 둔 상황”이라고 말했다. 금융사의 정보 보호 예산은 연초에 계획한 예산을 모두 집행하지 않아 ‘대외 과시용’이라는 지적도 나온다. 롯데카드는 2012년 정보 보호 예산액이 85억원이었으나 집행액은 47억원으로, 계획 대비 45%나 덜 투자했다. 국민카드는 예산액을 2012년 113억원에서 지난해 76억원으로 33%가량 줄였다. 2012년 실제로 집행된 정보 보호 예산은 48억원에 그쳤다. 계획한 예산의 42%만 투자한 셈이다. NH농협은행을 포함한 NH농협카드의 2012년 정보 보호 예산액은 무려 1104억원(집행액 971억원)을 기록했지만 지난해는 406억원으로 뚝 떨어졌다. 2011년 농협 전산 사고 여파로 이듬해 예산을 크게 늘렸다가 세간의 관심이 멀어지자 다시 투자금을 줄였다.4대 은행의 정보 보호 예산과 집행액도 상당한 격차를 보였다. KB국민은행은 2012년 정보 보호에 341억원을 투자할 계획이었지만 실제로 투자한 금액은 221억원이었다. 신한은행은 175억원에서 155억원, 우리은행은 186억원에서 175억원, 하나은행은 238억원에서 100억원으로 계획 대비 투자액을 줄였다. 금융당국 관계자는 “정보 보호 예산을 투자로 생각지 않고 지출로만 생각해서 이런 격차가 생긴 것으로 보인다”고 지적했다. 물리적 보안장치는 갖춰져 있지만 이를 운용하는 인력 관리가 허술한 점도 한 원인이다. 2011년 농협 전산망 마비 사태 이후 한국인터넷진흥원(KISA)은 ‘정보기술(IT) 외주 인력 보안 통제 안내서’를 만들었지만 현장에서 규제 효과를 보지 못하고 있다는 지적이 나온다. 오희국 정보보호학회장(한양대 컴퓨터공학과 교수)은 “이동식 저장장치(USB)로 정보를 빼내 가는 등 초보적인 수준의 보안 구멍이 난 것은 제도가 허술하다기보다 이를 지키지 않는 인력의 문제”라고 말했다. 이미 앞서 대규모 개인 정보 유출 사건을 겪은 일부 금융사는 직원이 고객 정보를 조회하거나 출력할 때 관리자에게 실시간으로 통보되고 일주일에 한번 불필요한 고객 개인 정보를 동시에 파기하는 등의 시스템을 마련했지만 물 샐 틈 없는 보안을 보장하기는 어려운 상황이다. 한 카드사 관계자는 “고객 관련 정보를 조회하거나 출력할 때 일일이 관리자의 결재를 받아야 하는 등의 시스템을 두고 있지만 예상치 못한 직원의 ‘일탈’까지 사전에 통제하기는 어렵다”고 말했다. 신종 금융 사기 수법에 취약한 금융권의 보안도 불안 요소다. 최근 신한은행과 농협은행에서 발생한 신종 ‘메모리 피싱’ 수법은 기존의 피싱 범죄가 고객의 계좌 비밀번호와 공인인증서, 보안카드 등의 정보를 빼돌려 돈을 빼 간 것과 달리 금융 정보 유출 없이 이체 정보를 바꿔 돈을 빼돌린 것이다. 윤샘이나 기자 sam@seoul.co.kr 김경두 기자 golders@seoul.co.kr

이번에 카드사에서 고객 정보가 대량 유출되면서 개인들도 평소 스스로 개인 정보를 보호해야 한다는 의식이 높아지고 있다. 24일 정부와 정보 보안 전문가들에 따르면 개인들이 개인 정보를 관리하는 주요 방법으로는 비밀번호를 자주 바꾸고 공인인증서 관리를 잘하는 것 등이 있다. 금융거래 때 일회용 비밀번호 생성기(OTP)를 사용함으로써 고정된 비밀번호 사용을 억제하고 공인인증서는 컴퓨터 하드디스크가 아닌 이동식 저장장치(USB)에 보관하는 것이 바람직하다. 경찰 사이버수사팀 관계자는 “최근 OTP 해킹 사례가 발생하긴 했지만 비밀번호 보안에 있어서는 OTP가 현재 최선의 방법이며 하드디스크에 공인인증서를 보관하면 바이러스 등에 의한 해킹의 우려가 있기 때문에 별도로 보관해야 한다”고 조언했다. 다음은 금융감독원이 정한 개인 정보 보호를 위한 금융 소비자 안전 수칙이다. ▲경품 이벤트 참여 때 개인 정보 제공 내용을 꼼꼼히 확인할 것 ▲인터넷뱅킹 비밀번호는 다른 사이트 비밀번호와 다르게 설정할 것 ▲출처가 불분명한 이메일과 스마트폰 메시지를 열지 말고 메시지에 포함된 링크 주소를 연결하지 말 것 ▲주민등록번호, 카드번호, 계좌번호 등의 개인 정보를 PC나 인터넷에 저장하지 말 것 ▲상품 홍보 등의 전화를 더 이상 받고 싶지 않다면 금융회사에 개인 정보 처리 정지를 요청하고 이를 거부하면 1332(금감원) 또는 118(한국인터넷진흥원)로 신고할 것 등이다. 김진아 기자 jin@seoul.co.kr

지난해 10만여건의 고객 정보 유출 사건이 발생한 한국스탠다드차타드(SC)은행의 ICT(정보통신기술) 최고 책임자인 김수현 부행장(CIO)이 사의를 표명했다. 한국SC은행은 “김 부행장이 최종 퇴임할 때까지 원활한 사고 수습과 금융감독원의 현장검사에 최선을 다할 것”이라며 “SC은행도 이번과 같은 일이 다시는 발생하지 않도록 고객정보 보호에 총력을 기울일 방침”이라고 23일 밝혔다. 이 은행의 외주업체 직원 이모씨는 2011년 11월부터 2012년 2월까지 대출모집인의 부탁을 받고 은행 전산망에 저장된 고객 10만 4000여명의 정보를 이동저장장치(USB)에 복사해 준 혐의로 지난해 12월 구속됐다. 김 부행장의 사의 표명으로 최근 발생한 고객정보 유출과 관련해 사의를 표명하거나 사퇴한 사람은 KB국민카드와 롯데카드, NH농협카드를 포함해 7개 금융사 44명으로 늘었다.

국내 35개 증권사의 정보기술(IT) 시스템을 위탁관리하는 코스콤(옛 증권전산)의 보안망도 뚫린 것으로 뒤늦게 확인됐다. 개인 정보가 대거 유출된 카드업계뿐만 아니라 증권업계도 보안 및 개인정보 관리 실태에 대한 점검이 시급하다. 22일 금융투자업계에 따르면 2012년 12월 코스콤의 한 직원이 사내에서 쓰는 컴퓨터가 해킹당해 업무 자료 일부가 빠져나갔다. 유출된 자료는 다행히 코스콤의 전산실 설비와 관련된 내용이라 피해가 크지 않았다. 만약 이 자료가 고객 정보였다면 엄청난 파문이 일었을 것으로 업계 관계자들은 보고 있다. 코스콤은 2012년 9월 중순부터 사내 업무망과 인터넷망을 분리해 직원들이 두 대의 컴퓨터를 사용하도록 했다. 업무 전산망에 인터넷 접속을 못 하도록 해 해킹 공격 등에 대비하자는 취지였다. 그러나 해킹을 당한 직원이 업무 자료를 이동식저장장치(USB)에 담아 사내 업무용 컴퓨터에서 인터넷용 컴퓨터로 옮기는 과정에서 코스콤이 강조한 ‘철통 보안’은 쉽사리 무너졌다. 이 직원의 컴퓨터가 원격조종과 데이터 절취가 가능한 악성코드에 감염되면서 코스콤 업무 자료가 해킹 경유지 서버가 있는 일본으로까지 유출됐다. 코스콤 측은 “직원 1명의 인터넷용 컴퓨터 이외에 다른 컴퓨터에서는 악성코드 감염이나 피해가 일어나지 않았다”면서 “내부 업무망에는 해커가 침입하지 못해 고객 정보가 전혀 유출되지 않았다”고 설명했다. 당시 해킹 피해가 미미했지만 코스콤에서 발생한 사고라는 점에서 금융감독당국, 국정원 등도 초미의 관심을 두고 조사를 벌인 것으로 알려졌다. 코스콤은 국내 62개 증권사 중 35개사의 고객 정보를 관리하고 있다. 여기에는 계좌 정보, 거래 실적, 출납 관계, 투자 내역 등이 모두 포함된다. 한 증권사 관계자는 “시스템 안정성이 비교적 높은 코스콤의 인터넷망이 뚫렸다면 다른 곳은 말할 것도 없지 않으냐”면서 “증권업계 전반적으로 보안과 개인정보 관리 실태를 점검할 필요가 있다”고 말했다. 김진아 기자 jin@seoul.co.kr

“카드사 홈페이지에서 수차례 설치했던 액티브X 같은 보안 프로그램들은 다 뭔가요? 이동식 저장장치(USB) 하나로 수천만 명의 정보가 새어나가는 시스템이면서 노이로제에 걸릴 만큼 귀찮게 했던 건가요?” 카드사 개인 정보 유출과 카드사들의 안일한 대처에 대한 피해자들의 분노가 점점 커지고 있다. 코리아크레딧뷰로(KCB) 직원 A씨는 2012년 5월부터 지난달까지 KB국민카드, NH농협카드, 롯데카드의 고객 정보 1억여건을 몰래 빼내 대출광고업자에게 유통했다. 카드사들은 고객 불편을 초래하면서까지 백신, 키보드 보안, 암호화 프로그램 등을 겹겹이 설치해 놓았지만, 정작 집안 단속엔 소홀했던 셈이다. 정보기술(IT) 대기업에 근무하는 허오영(28)씨는 21일 “직원에 대한 고객정보 관리 교육과 통제에 무관심하면서 해킹에 대비하는 건 모래 위에 성을 쌓는 꼴”이라고 말했다. 신용카드를 정지하거나 해지하고 국외로 나간 유학생, 주재원, 이민자 등의 불만도 크다. 일부는 개인 정보가 유출됐는지 확인할 방법조차 없기 때문이다. 유출 여부를 확인하려면 카드 정보(번호·비밀번호·유효기간 등)나 공인인증서, 휴대전화 등 3가지 중 1가지 정보가 필요하지만 없는 이들도 상당수다. 전화상담을 통해 확인할 수 있다지만 시차 탓에 시간대가 맞지 않아 카드사 직원들과 통화할 수 없는 경우도 대부분이어서 발만 동동 구를 뿐이다. 영국에서 유학 중인 양혜영(38·가명)씨는 “수년 전에 국민카드를 가지고 있다가 해지했지만, 5년까지는 개인 정보가 남아 있다고 해서 확인을 해보려고 했지만, 방법이 없었다”면서 “2차 피해가 발생하더라도 속수무책”이라고 밝혔다. 카드사들의 꼼수를 지적하는 이들도 있다. 국민·NH농협카드 홈페이지에 접속하면 ‘유출정보 확인하기’란 페이지로 넘어가는 반면 롯데카드는 ‘해당 정보 확인하기’란 모호한 용어를 사용했다. 김철민(43·가명)씨는 “유출된 정보 바로 아랫줄에 검찰이 발표했다는 문구를 달아 내 정보가 유출되지 않은 것처럼 보이게 했다”면서 “카드사의 꼼수가 아니냐”며 분통을 터뜨렸다. 이성원 기자 lsw1469@seoul.co.kr