대형사도 예외 없었다···잇단 해킹에 증권사 CEO 책임론 확산

대신·한양 이어 미래에셋까지 정보 유출

당국, 경영진 제재·성과급 환수까지 거론

전문가 "관리 소홀 책임 묻되 면책 필요"

그래픽=박혜수 기자

증권사들의 해킹 사고가 잇따르면서 최고경영자(CEO)에 대한 실제 제재로 이어질지 주목된다. 이찬진 금융감독원장이 경영진의 내부통제 책임을 강조한 데 이어 이억원 금융위원장도 성과보수 환수(클로백)를 거론하면서 증권업계의 부담이 커지고 있다. 다만 전문가들은 해킹 사고의 원인과 경영진의 과실 여부를 따져 책임을 묻되 불가피한 외부 공격에 대해서는 면책 기준을 마련해야 한다고 지적했다.

잇단 개인정보 유출에 내부통제 실효성 도마

9일 금융투자업계에 따르면 대신증권과 한양증권에 이어 미래에셋증권에서도 해킹에 따른 개인정보 유출 사고가 발생했다. 대신증권에서는 고객 3만8490명의 정보가 유출됐고 한양증권에서도 개인정보 31건이 외부로 빠져나갔다. 미래에셋증권에서는 고객 3800여명의 계좌번호와 임직원·퇴직자·외주직원 등 3만5255명의 개인정보가 유출된 것으로 파악됐다.

미래에셋자산운용에서도 외부 침입으로 일부 정보가 유출된 사실이 확인됐다. 중소형 증권사에 이어 대형 증권사와 자산운용사까지 해킹 피해가 잇따른 가운데 공격 대상도 비대면 계좌개설 서버와 모바일웹 로그인 서비스, 그룹웨어 등으로 다양해졌다. 미래에셋증권은 지난 4일과 5일 모바일웹 로그인 서비스와 그룹웨어에서 외부의 비정상적인 접근을 확인했고, 한양증권에서도 외부 그룹웨어 솔루션을 통해 개인정보가 유출됐다.

증권사 해킹 사고는 고객의 금융거래 피해로 이어질 수 있다는 점에서 우려가 크다. 유출된 계좌번호와 개인정보가 증권사를 사칭한 피싱이나 스미싱에 악용될 수 있는 데다 거래시스템까지 공격받으면 주식 매매 지연이나 서비스 중단으로 금전적 피해가 발생할 가능성도 있기 때문이다. 다만 미래에셋증권은 이번 사고와 관련해 현재까지 금전적 피해나 서비스 중단은 확인되지 않았다고 밝혔다.

금융당국의 잇단 보안 강화 요구에도 개인정보 유출 사고가 반복되면서 증권사들의 내부통제 관리에 대한 비판이 커지고 있다. 특히 고객 서비스와 임직원 업무시스템에서 잇따라 사고가 발생하면서 기존 보안점검에서 취약점을 제대로 파악하고 개선했는지에 대한 의문도 제기된다. 금융당국은 사고 발생 경위와 예방 조치 이행 여부 등을 토대로 경영진의 관리·감독 책임을 판단할 것으로 보인다.

이찬진 금융감독원장은 지난 3일 임원회의에서 대형 금융회사의 해킹 사고에 대해 CEO 등 경영진의 책임까지 엄중하게 묻겠다고 밝혔다. 금융회사들이 자체 점검과 외부 접근 차단 등 기존 조치를 충분히 이행하지 않고 있다는 판단에서다. 이 원장은 경영진과 이사회에 내년도 보안 예산과 인력 확충도 주문했다.

금융당국은 사고가 발생한 증권사들이 사전에 안내받은 보안 조치를 제대로 이행했는지 살펴볼 방침이다. 특히 금융회사 지배구조법에 따라 CEO와 임원이 내부통제 관리 의무를 위반한 사실이 확인되면 해임요구와 직무정지, 문책경고 등 제재를 받을 수 있다. 자산 5조원 이상 금융투자회사는 지난해 7월부터 책무구조도를 시행하고 있으며 중소형 금융투자회사도 올해 7월 도입을 마쳤다.

증권사들은 책무구조도에 따라 정보보호 업무를 담당하는 임원과 CEO의 관리·감독 책임을 구분하고 있다. 경영진이 보안 취약점을 보고받고도 개선하지 않았거나 필요한 인력과 예산 확보를 소홀히 해 사고가 발생했다면 내부통제 의무 위반으로 제재가 가능하다. 반면 정기적인 보안점검과 취약점 개선 등 예방 조치를 충실히 이행했음에도 외부 공격으로 정보가 유출됐다면 경영진의 관리 소홀을 인정하기 어려울 수 있다.

증권업계 관계자는 "외부 해킹은 보안 인력과 예산을 충분히 확보하더라도 완전히 막기 어려운 측면이 있다"라며 "CEO에게 직접 책임을 물으려면 기존 보안 취약점을 방치했거나 필요한 예방 조치를 소홀히 하는 등 구체적인 관리·감독 의무 위반이 확인돼야 할 것"이라고 말했다.

경영진 귀책사유·환수 근거 놓고 논란 예상

이억원 금융위원장도 지난달 국정감사에서 금융회사 경영진의 내부통제 책임을 강화하기 위해 성과보수 환수(클로백)를 지배구조 개선안에 반영하겠다고 밝혔다. 클로백은 금융사고 등 일정한 사유가 발생하면 경영진에게 이미 지급한 성과급을 환수하는 제도다. 금융사고에 대한 경영진의 책임을 금전적 제재로까지 확대하겠다는 방침이지만 실제 증권사 해킹 사고에 적용하기까지는 넘어야 할 과제가 적지 않다.

우선 증권사마다 임원 성과보수 지급 기준과 환수 규정이 달라 해킹 사고를 이유로 이미 지급한 성과급을 회수할 수 있을지 불투명하다. 경영진의 관리·감독 소홀과 사고 발생 사이의 인과관계를 입증해야 하는 데다 기존 계약에 환수 근거가 없다면 법적 분쟁으로 이어질 가능성도 있다. 특히 새로운 환수 기준을 마련하더라도 과거 지급한 성과급에 소급 적용하기는 쉽지 않아 제도 도입 이후 실제 환수 사례가 나오기까지 상당한 진통이 예상된다.

또 다른 증권업계 관계자는 "증권사마다 임원 성과보수 규정이 달라 해킹 사고를 이유로 이미 지급한 성과급까지 환수할 수 있을지는 불분명하다"며 "경영진의 귀책사유가 명확하지 않은 상황에서 일률적으로 클로백을 적용하면 법적 분쟁으로 이어질 가능성이 있다"고 설명했다.

금융당국은 경영진에 대한 제재와 함께 해킹 사고가 발생한 금융회사에 대한 금전적 제재도 강화할 방침이다. 기본적인 보안 통제가 부실하거나 취약점을 방치해 사고가 발생한 경우 매출액의 최대 3%를 징벌적 과징금으로 부과할 수 있도록 전자금융거래법 개정안의 조속한 국회 통과를 지원하기로 했다. 법 개정 이전에도 사고 발생 여부에 따라 금융회사의 감독분담금을 차등 부과하는 방안을 검토하고 있다.

금융당국의 제재 강화 방침에 따라 증권사들은 기존 보안점검 결과와 취약점 개선 내역 등을 다시 살펴야 할 것으로 보인다. 사고 발생 이전에 위험을 인지했는지와 실제 개선 조치를 이행했는지에 따라 경영진의 책임도 달라질 수 있기 때문이다. 특히 책무구조도 도입 이후 첫 CEO 제재가 이뤄질 경우 다른 금융회사들의 내부통제 관리에도 영향을 미칠 것으로 예상된다.

전문가들은 금융당국이 해킹 사고에 대한 경영진의 책임을 강화하는 과정에서 제재와 면책 기준을 구체화할 필요가 있다고 보고 있다. 증권사들이 사전에 보안 인력과 예산을 확보하고 취약점 개선에 나섰는지에 따라 경영진의 관리 책임을 달리 판단해야 한다는 것이다. 성과보수 환수 역시 경영진의 적극적인 사업 추진을 위축시킬 수 있어 제도 도입에 신중해야 한다는 의견이 나온다.

서지용 상명대학교 경영학부 교수는 "소비자 과실로 발생한 사고라면 CEO에게 책임을 묻기 어렵다"며 "하지만 내부통제 부실로 사고가 발생했다면 직원 관리·감독을 소홀히 한 경영진에게 책임을 물을 수 있을 것"이라고 말했다.

이어 "클로백 도입의 경우 기본급이 아닌 성과급 지급을 제한하는 것은 가능할 것으로 본다"면서도 "경영진이 신사업 추진에 소극적으로 나설 수 있어 면책 조항을 적절히 활용해야 할 것"이라고 부연했다.