약정서엔 ‘사고 즉시 통보’ 의무 없어…신한금융, 정상혁 행장 임기 앞두고 차기 행장 후보 압축
오세훈 시장이 이끄는 서울시가 지난 5월 연간 51조원 규모의 시금고를 신한은행에 다시 맡기면서 전산보안 능력에 만점에 가까운 점수를 준 것으로 나타났다. 금융당국이 정상혁 행장의 신한은행에 전자금융 안전 의무 위반으로 과태료를 매긴 지 5개월 뒤였다. 그로부터 넉 달여 만에 신한은행에서 고객 2만5000여명의 개인정보가 빠져나갔다.
28일 김인제 서울시의원(더불어민주당·구로2)이 서울시에서 받은 금고 평가 자료와 신한은행 공시 등에 따르면 신한은행은 지난 5월 12일 2027~2030년 서울시 1·2금고 선정 평가에서 1금고 97.71점, 2금고 92.896점으로 모두 1위를 했다. 전산시스템 보안관리 등을 보는 ‘전산처리능력’ 항목은 두 금고 모두 8점 만점에 7.936점이었다. 득점률로는 99.2%다.
평가 다섯 달 전인 지난해 12월 22일 금융위원회는 신한은행에 과태료 9600만원을 부과했다. 전자금융거래의 안전성을 지킬 의무를 어겼다는 이유다. 신한은행은 2022년 핵심 전산망(코어뱅킹) 데이터베이스의 접근통제 설정을 책임자 승인 없이 바꿨다가 전자금융 업무를 86분간 멈췄고, 다른 작업에서도 사전 검증 없이 프로그램을 적용해 118분간 업무가 중단됐다.
신한은행은 올해 8월 낸 반기보고서에 이 처분의 조치 내용을 ‘과태료 납부 및 내부통제 강화’라고 적었다. 하루 뒤인 지난해 12월 23일에는 같은 그룹 계열사 신한카드가 영업 직원이 3년여 동안 가맹점 19만2088곳의 정보를 빼돌린 사실을 확인했다.
유출 사고는 지난 9월 30일 드러났다. 외부 비인가자가 대출모집인용 조회 서비스 등에 인증을 우회해 들어왔고, 고객 이름과 전화번호, 연소득, 대출 산출한도가 빠져나갔다. 주민등록번호 66건과 본인 확인에 쓰는 연계정보(CI) 97건도 포함됐다.
국정감사에 제출된 자료 기준 피해 고객은 2만5729명이다. 지난 19일 국회 정무위원회 국감에서는 신한은행이 침입을 알아채기까지 15시간26분이 걸렸다는 지적이 나왔다. 금융감독원은 지난 6일 현장점검을 법 위반 여부를 따지는 현장검사로 바꿨다.
같은 국감에서는 신한은행이 지난해 정보보호 예산 493억원 가운데 317억원(64.3%)만 썼다는 자료도 공개됐다. 최근 5년 동안 신한은행의 정보보호 예산은 해마다 5대 시중은행 가운데 가장 적었다는 게 의원들의 지적이다.
■ 서울시 약정서엔 ‘사고 나면 시에 즉시 알린다’ 조항 없어
서울시와 신한은행이 지난 6월 30일 맺은 ‘서울특별시 금고업무 취급약정서’에는 개인정보 보호의무(12조)와 약정 해지(16조), 손해배상(18조), 금고업무 검사(19조) 조항이 있다. 그러나 보안사고가 나면 은행이 시의 요구가 없어도 바로 알리고 원인과 피해 범위, 재발방지 대책을 기한 안에 보고하도록 한 조항은 없다고 김 의원은 밝혔다.
서울시는 사고 뒤 신한은행 관계자를 불러 점검회의를 열고 경위와 대응 현황을 보고받았다. 김 의원은 “보안관리 능력에서 만점에 가까운 평가를 받은 은행에서 대규모 개인정보 유출 사고가 발생했다면 서울시의 평가가 실제 보안 수준을 얼마나 정확하게 반영했는지 살펴봐야 한다”고 말했다. 그는 11월 행정사무감사에서 금고 선정 당시 보안평가의 적정성과 서울시의 사고 인지·초기 대응 과정, 약정서의 보고 의무를 따지겠다고 했다.
신한은행과 서울시금고의 관계가 도마에 오른 것은 처음이 아니다. 금감원은 2021년 3월 신한은행이 2018년 금고 입찰 때 제시한 전산시스템 구축비 1000억원 가운데 393억원을 금고 운영에 필요하지 않은 ‘서울시에 제공한 재산상 이익’으로 판단했다. 이사회에는 이 비용을 650억원만 반영해 보고한 사실도 지적했다. 신한은행은 다른 위반과 합쳐 과태료 21억3110만원을 냈고, 위성호 전 은행장은 주의적 경고를 받았다.
신한은행은 신한금융지주가 지분 100%를 가진 완전 자회사다. 지주의 최대주주는 지분 9.19%(6월 말)의 국민연금공단으로, 지배력을 가진 오너 일가는 없다. 그룹 경영은 진옥동 신한금융지주 회장이, 은행 경영은 정상혁 은행장이 맡고 있다. 은행의 정보보호 실무 책임자(CISO)는 송영신 정보보호본부장(상무)이다.
정 행장은 국감에서 “송구스럽게 생각한다. 미흡한 부분이 많았던 것 같다”며 “국민이 납득할 만한 수준의 정보보호 예산 투자를 하겠다”고 말했다. 피해 고객에 대해서는 고객 과실 여부를 떠나 전액 보상하겠다고 했다.
김현정 더불어민주당 의원실이 신한금융과 신한은행 반기보고서를 분석한 결과 정 행장이 아직 받지 않은 성과연동주식은 5만4761주로, 6월 말 주가로 약 53억원어치다. 2027~2030년에 나눠 지급된다. 신한은행이 최근 2년 동안 임원 성과보수를 깎거나 돌려받은 사례는 없었다.
정 행장의 임기는 오는 12월 31일 끝난다. 신한금융 자회사최고경영자후보추천위원회는 27일 회의를 열고 차기 신한은행장 1차 압축 후보군을 정했으며, 12월 초 최종 후보를 추천할 예정이다. 이찬진 금감원장은 국감에서 은행장의 총괄 관리 책임과 관련해 “그 부분까지 고려해서 점검 중”이라고 밝혔다.