데일리 TOP10
4위
한 달 새 금융사 37곳서 47만 건 정보 유출…당국, 580곳 전수점검 착수
뉴스보이
2026.11.05. 10:37
뉴스보이
2026.11.05. 10:37
경영진 엄정 문책 방침과 보이스피싱 금융사 무과실책임 법제화 추진
1
최근 한 달간 은행·보험 등 37개 금융사에서 침해사고가 발생해 개인정보 47만3000건이 유출되고 10억 원의 자금이 탈취됨.
2
다만 계좌 비밀번호는 유출되지 않았고 탈취 자금도 회사 계정에서 발생해 현재까지 개별 이용자의 직접적인 자금 손실은 없음.
3
이에 금융당국은 580개 금융사를 상대로 전수점검에 착수하며, 관리 부실이 드러날 경우 CEO 등 경영진에 엄정 책임을 묻기로 함.
4
각 금융사는 등재 시스템 조사를 11월 30일까지 마치고 미등재 시스템과 경영진 내부통제 작동 점검은 12월 31일까지 완료해야 함.
5
이와 함께 당국은 금융사 과실이 없어도 보이스피싱 피해금을 배상하도록 하는 무과실책임 법제화와 망분리 규제 개선을 추진하기로 함.
금융권 연쇄 해킹으로 본 보안 취약점과 당국의 고강도 대응책
연쇄 해킹은 어떻게 발생했는가
CEO에게 직접 책임을 묻는 근거
보이스피싱 피해를 금융사가 배상하는 기준
전수점검 일정과 앞으로 확인할 과제
연쇄 해킹은 어떻게 발생했는가
•
원격 접속 통로인 가상사설망(VPN)과 외부 노출 웹서버의 보안 취약점, 최신 보안 패치를 적용하지 않은 방치된 시스템이 연쇄 침해의 주된 원인으로 지목되었습니다. 금융보안원 등이 사전에 침해 위험을 여러 차례 경고했음에도 개별 금융회사가 자체 점검을 소홀히 해 피해가 확산했습니다.
•
이번 사고로 은행 4곳과 전자금융업자 10곳 등 총 37개 금융사에서 40건의 침해사고가 발생해 47만3000건의 고객 정보가 유출되었습니다. 또한 일부 업체의 통합 관리 계정에서 약 10억 원 규모의 자금이 빠져나간 사실이 함께 확인되었습니다.
•
다만 계좌 비밀번호와 같이 부정 결제로 직결되는 핵심 정보는 빠져나가지 않은 것으로 조사되었습니다. 탈취된 자금 역시 회사 법인 계정에서 빠져나가 현재까지 개별 이용자의 직접적인 자금 피해는 발생하지 않았습니다.
CEO에게 직접 책임을 묻는 근거
•
금융당국은 2024년 7월 시행된 개정 금융회사지배구조법의 책무구조도를 근거로 최고경영자(CEO)의 관리 책임을 묻기로 결정했습니다. 금융감독원은 금융권 사이버보안 분야에 이 내부통제 관리의무 규정을 처음으로 적용해 본격적인 검사와 제재에 착수합니다.
•
당국은 금융사가 사전에 전달된 보안 경고를 알고도 방치했는지와 최고경영진이 보안 예산 및 인력을 제대로 승인했는지를 중점적으로 들여다봅니다. 사고를 막기 위해 경영진이 '상당한 주의'를 기울이지 않았다고 판단되면 관련 법령에 따라 엄정 문책할 방침입니다.
보이스피싱 피해를 금융사가 배상하는 기준
•
새로 추진되는 보이스피싱 무과실책임 법제화는 금융회사의 고의나 과실이 없더라도 범죄 피해금을 일정 부분 의무적으로 배상하도록 규정합니다. 기존 자율 협약 체계에서는 제외되었던 피해자 직접 송금형 사기 거래까지 법적 보상 범위 안으로 포괄하는 점이 가장 큰 차이점입니다.
•
통신사기피해환급법 개정안에 따라 송금 금융사와 수취 금융사는 1대1 비율로 피해 금액을 나누어 분담하게 됩니다. 배상 한도는 1000만 원에서 5000만 원 범위에서 설정되지만, 금융회사가 고객에게 범죄 위험을 충분히 알렸음을 입증하면 면책을 받을 수 있습니다.
전수점검 일정과 앞으로 확인할 과제
•
금융당국은 약 580개 금융회사를 대상으로 전수점검에 착수해 관리대장에 등록된 시스템을 11월 30일까지 우선 점검하도록 지시했습니다. 미등록 시스템과 최고경영진의 내부통제 체계는 12월 31일까지 조사를 마쳐야 하며 점검이 부실한 금융사에는 현장점검이 이어집니다.
•
아울러 당국은 대형 금융회사의 취약점 분석 주기를 연 1회에서 연 2회 이상으로 단축하는 감독규정 개정을 추진합니다. 이와 함께 보안 규제를 '자율보안과 사후책임' 체계로 개편하기 위한 망분리 규제 전면해제 태스크포스(TF)도 11월 중 발족할 예정입니다.
연쇄 해킹은 어떻게 발생했는가
•
원격 접속 통로인 가상사설망(VPN)과 외부 노출 웹서버의 보안 취약점, 최신 보안 패치를 적용하지 않은 방치된 시스템이 연쇄 침해의 주된 원인으로 지목되었습니다. 금융보안원 등이 사전에 침해 위험을 여러 차례 경고했음에도 개별 금융회사가 자체 점검을 소홀히 해 피해가 확산했습니다.
•
이번 사고로 은행 4곳과 전자금융업자 10곳 등 총 37개 금융사에서 40건의 침해사고가 발생해 47만3000건의 고객 정보가 유출되었습니다. 또한 일부 업체의 통합 관리 계정에서 약 10억 원 규모의 자금이 빠져나간 사실이 함께 확인되었습니다.
•
다만 계좌 비밀번호와 같이 부정 결제로 직결되는 핵심 정보는 빠져나가지 않은 것으로 조사되었습니다. 탈취된 자금 역시 회사 법인 계정에서 빠져나가 현재까지 개별 이용자의 직접적인 자금 피해는 발생하지 않았습니다.
CEO에게 직접 책임을 묻는 근거
•
금융당국은 2024년 7월 시행된 개정 금융회사지배구조법의 책무구조도를 근거로 최고경영자(CEO)의 관리 책임을 묻기로 결정했습니다. 금융감독원은 금융권 사이버보안 분야에 이 내부통제 관리의무 규정을 처음으로 적용해 본격적인 검사와 제재에 착수합니다.
•
당국은 금융사가 사전에 전달된 보안 경고를 알고도 방치했는지와 최고경영진이 보안 예산 및 인력을 제대로 승인했는지를 중점적으로 들여다봅니다. 사고를 막기 위해 경영진이 '상당한 주의'를 기울이지 않았다고 판단되면 관련 법령에 따라 엄정 문책할 방침입니다.
보이스피싱 피해를 금융사가 배상하는 기준
•
새로 추진되는 보이스피싱 무과실책임 법제화는 금융회사의 고의나 과실이 없더라도 범죄 피해금을 일정 부분 의무적으로 배상하도록 규정합니다. 기존 자율 협약 체계에서는 제외되었던 피해자 직접 송금형 사기 거래까지 법적 보상 범위 안으로 포괄하는 점이 가장 큰 차이점입니다.
•
통신사기피해환급법 개정안에 따라 송금 금융사와 수취 금융사는 1대1 비율로 피해 금액을 나누어 분담하게 됩니다. 배상 한도는 1000만 원에서 5000만 원 범위에서 설정되지만, 금융회사가 고객에게 범죄 위험을 충분히 알렸음을 입증하면 면책을 받을 수 있습니다.
전수점검 일정과 앞으로 확인할 과제
•
금융당국은 약 580개 금융회사를 대상으로 전수점검에 착수해 관리대장에 등록된 시스템을 11월 30일까지 우선 점검하도록 지시했습니다. 미등록 시스템과 최고경영진의 내부통제 체계는 12월 31일까지 조사를 마쳐야 하며 점검이 부실한 금융사에는 현장점검이 이어집니다.
•
아울러 당국은 대형 금융회사의 취약점 분석 주기를 연 1회에서 연 2회 이상으로 단축하는 감독규정 개정을 추진합니다. 이와 함께 보안 규제를 '자율보안과 사후책임' 체계로 개편하기 위한 망분리 규제 전면해제 태스크포스(TF)도 11월 중 발족할 예정입니다.
#금융당국
#개인정보 유출
#보이스피싱
#망분리
#무과실책임
