[뉴스스페이스=이은주 기자] 신한은행 고객 약 2만5000명의 개인·신용정보가 외부로 유출됐다. 인터넷뱅킹 로그인 시스템이 뚫린 사고로 알려진 것은 아니지만, 대출 신청 과정에서 다뤄지는 연소득과 산출한도까지 빠져나갔다는 점에서 단순한 연락처 유출보다 무겁다. 금융감독원은 현장조사에 착수했고, 은행은 피해가 확인되면 전액 보상하겠다고 밝혔다.

대출 조회 서비스가 출발점

신한은행이 1일 밝힌 현재까지의 유출 규모는 약 2만5000명이다. 유출 항목에는 이름·전화번호·연소득·대출 산출한도 등이 포함된다. 이 가운데 주민등록번호 유출은 66건, 연계정보(CI) 유출은 97건으로 집계됐다. 두 수치는 각각의 정보 항목에 대한 집계다. 조사 결과에 따라 전체 유출 규모가 달라질 가능성도 남아 있다.

침입 경로로 지목된 곳은 대출모집인이 이용하는 조회 서비스다. 은행 측 설명에 따르면, 외부인이 모바일 웹페이지의 대출 관련 조회 서비스에 무단 접근해 확보한 고객번호를 다른 정보 조회 서비스에 이용한 것으로 알려졌다. 

이 사고의 핵심은 은행의 모든 서비스가 뚫렸느냐가 아니다. 조회 목적의 한 서비스에서 얻은 정보가 다른 서비스의 고객정보 접근으로 이어질 수 있었는지가 쟁점이다. 현재까지 로그인 인증 기반 뱅킹 서비스가 해킹된 것으로는 전해지지 않지만, 그것만으로 대출 관련 정보 유출의 위험이 작아지는 것은 아니다.

보상 약속 뒤에 남은 질문

정상혁 신한은행장은 정보 유출에 대한 책임을 통감한다며 사과했다. 은행은 외부 IP 차단, 관련 서비스 중단, 신규 보안정책 적용 등 긴급조치를 했고, 사고로 인한 고객 피해가 확인되면 전액 보상하겠다고 밝혔다. 고객이 유출 여부를 확인할 수 있는 홈페이지 메뉴도 마련했다.

그러나 ‘전액 보상’의 실효성은 피해를 어떻게 확인하고 이번 유출과 연결 지을지에 달려 있다. 조사에서는 최종 유출 인원뿐 아니라 외부인이 조회 서비스에 접근한 시점, 고객번호를 이용해 조회할 수 있었던 정보의 범위, 추가 유출 여부를 밝혀야 한다. 보상 규모나 실제 피해 건수는 현재 확인되지 않았다.

은행권에서 고객정보 관리 문제가 다시 불거졌다는 점도 주목된다. 지난 7월 우리은행은 외부 개발업체가 임의로 보관하던 고객정보 1만7551건이 유출됐다고 공지했다. 당시 유출 항목은 CI와 고객 닉네임으로, 이번 신한은행 사고와 경위·정보의 종류가 다르다. 두 사고를 단순히 규모로 견주기보다, 고객정보가 은행의 외부 협력 과정과 서비스별 조회 경로에서 각각 어떻게 관리됐는지 살펴볼 필요가 있다.

해외 조사 결과를 이번 사고의 예상 손실액으로 대입하는 것도 경계해야 한다. IBM의 2025년 조사에서 전 세계 데이터 침해 사고의 평균 비용은 444만달러, 금융업 평균은 556만달러였다. 이번 사고의 비용과 책임 범위는 금감원 조사와 실제 피해 확인을 거쳐야 드러날 전망이다.