금융당국·카드사 정보유출 경위 달라···2차피해 가능성 단정 못해

금융당국이 카드사 고객정보 유출에 대한 정확히 파악하지 못하고 있는 것으로 드러났다.

민병두 민주당 의원은 18일 국회 청문회에서 “검찰과 금융당국, 그리고 농협의 개인정보 유출 경로가 차이를 보이고 있다”며 “대규모 개인정보 유출사건에 대한 경위도 제대로 파악 못하고 있다”고 지적했다.

검찰 공소장에 따르면 1차 유출은 농협이 USB보안 해제 승인을, 2차 유출은 박시우가 보안프로그램을 삭제했다고 기술하고 있는 반면 금융감독원이 제출한 중간 검사 결과는 1차 유출은 농협카드 승인 하에 보안프로그램 미설치 PC를 이용, 2차 유출은 보안프로그램 미설치 PC를 이용했다고 주장하고 있다.

그러나 2014년 2월7일 현장검증에서 농협 측은 “보안프로그램 해제를 승인한 적이 없다”고 밝혀 부실 수사 의혹이 제기되고 있다.

2차 피해 가능성에 대해 민병두 의원은 “추가유출 없다는 피의자들 진술, USB 원본과 복제 파일 압수, 통화기록과 이멜, 계좌추적 등을 통해 수사한 결과, 유출된 개인정보의 추가 유통은 없고 2차피해 가능성 없다는 것을 확신해서는 안된다”며 “유출 정보의 추가 유통과 2차 피해 발생에 대해서는 모든 가능성을 열어두고 대처해야 한다”고 주장했다.

민병두 의원 측에 따르면 USB 원본을 확인하기 위해서는 USB 원본으로 추정되는 USB와 사고 당시 유출 PC를 대조·분석해야 하는데 국민카드와 농협카드의 PC는 FDS개발이 종료된 이후 포맷돼 반출됐다며 포맷된 경우 USB원본과 대조·분석이 불가능해진다고 밝혔다.

또 USB 원본을 확인했다 하더라도 PC방 등에서 메신저나 외국 클라우드를 이용해 얼마든지 유출이 가능했기에 얼마나 많은 사본이 복제되었는지는 알 수 없다고 설명했다.

이에 농협카드와 국민카드는 KCB로부터 PC를 반입했을 때부터 반출하며 포맷할 때까지 24시간 모니터링은 물론 보안로그조차 검사하지 않은 것으로 드러났다.

민병두 의원은 “카드사의 보안규정 및 준칙에는 이번 사건을 방지할 수 있는 규정은 이미 포함돼 있었지만 제대로 이행되지 않았다”며 “이번 사태는 보안규정을 방치한 카드사와 부실 조사를 진행한 금융당국의 공동 책임”이라고 지적했다.

정희채 기자 sfmks@