[포럼] 금융권 해킹, 실종된 형사책임

김태은 법무법인 비트 대표변호사

최근 인공지능(AI) 에이전트를 악용한 금융권 해킹 사태가 확산되면서 금융보안에 비상이 걸렸다. 공격 대상은 시중은행을 넘어 저축은행, 카드사, 할부금융사 등 금융권 전반으로 번졌고, 일부에서는 고객정보 유출 피해까지 발생했다. 해커들은 다국적 우회 IP로 추적을 피하는 한편, AI 도구로 보안 취약점을 자동 탐지·공격하는 고도화된 수법을 사용했다고 한다. AI가 금융혁신을 이끄는 동시에 범죄자에게도 강력한 무기를 쥐여주는 역설이 현실이 된 것이다.

이처럼 위협은 날로 고도화되고 있지만, 보안사고 예방과 방어의 책임 범위에 대한 기준은 여전히 불분명하다. 특히 책임자에 대한 형사처벌 규정을 폐지했던 과거의 결정이 과연 적절했었는지 다시금 짚어볼 필요가 있다. 2000년대 후반 대규모 개인정보 유출 사고가 잇따르자, 2011년 법 개정을 통해 기술적·관리적 보호조치를 소홀히 하여 정보 유출이나 훼손 등 보안사고를 초래한 정보관리책임자와 해당 법인에 대한 처벌 규정이 신설됐다. 그러나 2020년 데이터 3법 개정 과정에서 기업의 부담 완화를 이유로 처벌 조항이 폐지됐고, 책임체계는 과징금 중심의 행정규제로 전환됐다.

그 여파는 씁쓸한 기억으로 남아 있다. 필자가 부장검사로 재직하던 시절, 후배 검사와 함께 개인정보 유출과 그에 따른 가상자산 탈취 사건을 수사한 적이 있다. 개인정보 암호화와 비정상적 접근에 대한 탐지·차단 등 기본적인 보안 조치조차 이행하지 않은 법인과 대표자를 기소했고, 1심에서는 유죄가 선고됐다. 그러나 항소심 진행 중 법이 개정되면서 상황이 달라졌다. 항소심 법원은 법률 변경으로 형이 폐지됐다는 이유로 면소 판결을 선고했고, 이는 그대로 확정됐다. 이후 유사한 보안사고가 발생하더라도 수사나 형사재판을 통해 보안관리 책임을 묻는 접근 자체가 아예 불가능해졌다. 정보보호 분야의 형사적 억지력이 사실상 무력화된 것이다.

AI 기술 확산으로 사이버 공격의 규모와 속도가 방대해진 지금, 정보보호 책임 체계 역시 신속히 재정립되어야 한다. 중대한 과실이나 보호조치 의무 위반, 관리·감독 소홀로 대규모 보안사고를 야기한 경우 합리적 범위 내에서 책임자와 경영진의 형사책임을 물을 필요가 있다. 이는 산업안전 분야에서 경영책임자의 예방 의무를 강조한 중대재해처벌법의 입법 취지와도 궤를 같이한다.

다만 결과 책임의 강화나 확대만이 능사는 아닐 것이다. 기업과 관리자에 대한 면책제도 또한 병행되어야 한다. 법이 정한 보안기준을 충실히 준수하고, 이상거래 탐지시스템 등 예방체계를 성실히 구축한 기업에 대해서는 형사·민사·행정상 책임을 합리적으로 감경하거나 면제하는 제도적 안전장치가 필요하다. 기업이 사고 후 책임 회피에 급급하기보다 사고 발생 전 예방과 보안투자에 적극적으로 나설 수 있는 유인을 제공해야 한다는 것이다.

결국 관건은 처벌과 면책이 균형을 이루는 정교한 제도의 설계에 있다. 금융보안은 개별 기업의 위기관리 차원을 넘어 국가경제와 사회적 신뢰를 지탱하는 핵심 인프라다. 이번 금융권 해킹 사태를 계기로 보안 책임의 범위를 더욱 명확히 하고, 기업의 자발적인 보안투자를 촉진할 수 있는 법률과 제도의 정비가 조속히 이뤄지기를 기대한다.

김태은 법무법인 비트 대표변호사

※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지