금융회사들이 디지털 금융의 편리함을 강조하며 사업 영역을 넓혀온 사이 고객의 민감한 정보는 해커들의 공격 대상이 됐다. 문제는 이런 위험에 대비하기 위한 투자가 충분하지 않았단 점이다. 국회 정무위원회 소속 박성훈 의원이 금융당국으로부터 제출받은 자료에 따르면 전산장애 발생 상위 20개 금융회사 가운데 7곳이 올해 정보보호 예산을 전년보다 줄였다.
예산을 삭감한 것만이 문제가 아니다. 이들 20개 금융회사의 지난해 정보보호 예산 집행률은 69.6%에 그쳤다. 특히 우리은행은 53.8%, 국민은행은 58.1%를 기록했다. 국내 주요 시중은행들이 편성한 예산의 절반가량만 실제 집행한 셈이다.
올해 상반기 5대 금융지주는 13조1183억원의 순이익을 거두며 역대 최대 실적을 갈아치웠다. 하지만 고객정보를 지키기 위한 투자에는 인색했다. 이번 해킹 사고가 발생한 은행 중 고객정보 유출 규모가 가장 큰 신한은행은 상반기 2조4585억원을 벌어들였지만, 올해 정보보호 예산은 오히려 10.4% 줄인 것으로 나타났다.
더욱 씁쓸한 것은 사고 이후 금융회사들의 달라진 태도다. 국민은행은 내년 정보보호 예산을 올해보다 16% 이상 늘린 1000억원 이상으로 편성할 계획이고, 신한은행은 업계 최고 수준의 예산을 책정하겠다며 AI 보안 전문가와 화이트해커 영입에 나섰다. 우리은행도 보안예산을 20% 이상 늘리고 전문인력을 10% 이상 확충하는 방안을 검토한다. 하나은행은 수백억원 규모의 보안체계 구축을 추진하고, 농협은행도 AI 기반 보안관제 강화와 전문인력을 채용한다. 되풀이되는 ‘소 잃고 외양간 고치기’식 대응에 금융회사들의 보안 의지를 의심할 수밖에 없다.
금융회사의 수익 추구는 당연한 일이다. 비용을 효율적으로 관리하는 것 역시 경영진의 책무다. 그러나 금융회사가 디지털 혁신으로 얻는 편익과 수익은 누리면서 그 과정에서 발생하는 보안 위험을 고객에게 떠넘겨서는 안 된다. 고객정보 보호는 수익성을 따져 선택할 수 있는 투자가 아니라 마땅히 감당해야 할 책임이다.
보안 투자는 당장 눈에 띄는 성과로 돌아오지 않는다. 예산을 줄이거나 집행을 미뤄도 사고가 발생하기 전까지는 그 위험을 체감하기 어렵다. 고객 역시 금융회사의 보안 수준을 직접 확인할 수 없다. 보안에 소홀한 대가는 결국 금융회사가 아닌 고객이 먼저 치를 수 있다는 점을 간과해서는 안 된다.
중요한 것은 사고 이후 얼마나 많은 돈을 쓰느냐가 아니라 같은 사고를 막기 위해 무엇을 바꾸느냐다. 보안체계를 얼마나 개선했는지, 그 결과 고객정보를 지킬 역량이 얼마나 강화됐는지가 중요하다. 뒤늦게 내놓은 약속이 또 하나의 보여주기식 대책에 그치지 않아야 한다.
고객은 소중한 자산과 함께 정보가 안전하게 보호될 것이라는 믿음도 맡긴다. 믿음이 무너지면 아무리 좋은 실적도 빛을 잃기 마련이다. 금융회사가 지켜야 할 것은 눈앞의 이익만이 아니다. 고객정보를 지키지 못한 채 쌓아 올린 수익으로는 잃어버린 신뢰를 살 수 없다.
