권한의 방치…내부자 유출의 통로가 된 '느슨한 신뢰'
대응의 골든타임…이상 징후 포착과 기록의 가치
책무구조도 도입, '선언'에서 '실행'의 단계로
모아저축은행은 지난 2023년 보안 관리 체계 미비로 인해 외부 공격을 받아 고객 7146명의 정보가 유출됐으며, 이에 따라 약 14억 원의 과징금과 과태료 처분을 받았다. 2025년에는 전·현직 직원이 공모해 7년간 고객 22만 명의 정보를 불법 판매했으며, 이 정보가 사금융 영업 및 대출 수수료 갈취 등 실제 금전 피해로 이어졌다. 외부 침입(해킹)과 내부 결속(반출)이라는 서로 다른 경로로 보안 구멍이 잇따라 증명되면서, 저축은행 업권의 내부통제 및 책임 소재 강화가 시급한 과제로 떠올랐다. <알파경제>는 모아저축은행에서 벌어진 일련의 금융사고의 구조적 원인을 진단하고, 해법을 모색하는 2부작 기획기사를 준비했다. [편집자주]
① 해킹에 내부자 유출 혐의까지
② 두 사건이 드러낸 내부통제의 공백
 |
| (사진=연합뉴스) |
[알파경제=박남숙 기자] 모아저축은행에서 드러난 두 사건은 형태가 다르다. 하나는 외부 해킹에 따른 정보유출 사고였고, 다른 하나는 전·현직 직원이 연루된 내부자 유출 혐의다. 그러나 두 사건은 공통된 질문을 남긴다. 고객정보를 다루는 시스템과 절차가 실제로 얼마나 촘촘하게 설계되고 운영되고 있었는지에 대한 문제다.
◇ 기술적 경계의 모호함과 운영 절차의 부재
먼저 2023년 해킹 사고는 외부 접점과 내부 정보 처리 기능이 어떻게 연결돼 있었는지를 보여준다. 금융감독원 제재에 따르면 모아저축은행은 공개 웹서버에서 개인신용정보 조회 기능을 운영했고, 이 과정에서 접근통제가 충분히 작동하지 않았다. 외부에서 접속 가능한 구간에 민감한 정보 처리 기능이 올라가 있었고, 그 경계가 명확히 관리되지 않았다. 이처럼 외부 노출 구간과 내부 정보 처리 구간의 구분이 흐려지면, 한 번의 침입이 곧바로 정보유출로 이어질 수 있다.
운영 절차의 문제도 함께 드러났다. 어떤 프로그램이 실제 운영 시스템에 반영되는지, 그 과정에서 누가 승인하고 어떤 검증을 거치는지, 정책 변경은 어떻게 기록되는지가 체계적으로 관리되지 않았다. 보안정책 변경 이력 관리 부실과 검증 절차 미비는 단순한 형식상의 문제가 아니라, 통제 절차가 실질적으로 작동하지 않았음을 보여준다. 시스템은 기술로 운영되지만, 사고는 절차가 비는 지점에서 확대되는 경우가 많다.
2025년 내부자 유출 혐의는 또 다른 취약 지점을 드러낸다. 핵심은 누가 고객정보에 접근할 수 있었는지, 그 권한이 계속 필요했는지, 그리고 그 사용이 제대로 점검되고 있었는지다. 고객정보 유출은 외부에서 시작되는 경우보다 내부에서 부여된 권한을 통해 이뤄지는 경우가 많다. 직무상 필요한 범위를 넘어선 권한이 유지되거나, 권한 사용이 장기간 점검되지 않으면 정보는 그 경로를 따라 외부로 빠져나간다.
이 과정에서 중요한 것은 권한 자체보다 권한의 관리 방식이다. 직무별 최소 권한 부여, 부서 이동이나 퇴직 시 권한 회수, 조회 범위 제한, 대량 조회에 대한 상시 점검이 기본적인 통제 요소로 작동해야 한다. 장기간에 걸친 유출 의혹이 제기됐다는 점은 이러한 관리가 충분히 이뤄지지 않았을 가능성을 시사한다.
 |
| (사진=연합뉴스) |
◇ 권한의 방치…내부자 유출의 통로가 된 '느슨한 신뢰'
두 사건을 함께 보면 공통된 문제는 더 분명해진다. 외부 해킹은 외부 접점 관리의 취약성을, 내부자 유출 혐의는 내부 권한 통제의 허점을 드러냈다. 경로는 달랐지만 고객정보에 접근하는 구조와 이를 통제하는 절차가 충분히 작동하지 않았다는 점에서는 같은 문제로 이어진다. 정보유출은 단순히 침입 여부로 갈리는 것이 아니라, 정보 접근 구조와 통제 방식에 따라 규모와 영향이 달라진다.
이상 징후를 발견하고 대응하는 체계 역시 중요한 지점이다. 2023년 사고에서 드러난 즉시 알림 체계 미비와 정책 변경 이력 관리 부실은, 이상 징후를 제때 포착하지 못했을 가능성을 보여준다. 경보가 발생해도 담당자에게 즉시 전달되지 않거나, 전달 이후 보고 체계가 정리돼 있지 않으면 대응은 늦어질 수밖에 없다. 장비를 갖추는 것과 이를 실제로 작동시키는 것은 다른 문제다.
◇ 대응의 골든타임…이상 징후 포착과 기록의 가치
내부자 유출에서도 같은 문제가 반복된다. 특정 직원의 조회가 평소보다 급증했는지, 업무시간과 무관한 접근이 있었는지, 조회된 정보가 외부 반출로 이어졌는지를 확인할 수 있어야 한다. 동시에 이러한 신호를 어느 단계에서 누구에게 보고하고, 누가 차단 결정을 내릴 것인지도 사전에 정리돼 있어야 한다. 내부통제는 원칙의 나열이 아니라, 이상 징후를 발견했을 때 실제로 멈추게 하는 절차다.
 |
| (사진=제미나이 AI생성) |
기록 관리 역시 핵심 요소다. 프로그램 반영, 정책 변경, 권한 부여와 회수, 데이터 조회와 반출, 경보 발생과 대응 결과가 모두 남아 있어야 한다. 이러한 기록은 사후 책임을 따지기 위한 자료이기도 하지만, 그보다 중요한 것은 평상시 점검과 조기 대응을 위한 운영 정보라는 점이다. 기록이 남지 않으면 같은 유형의 문제는 반복될 수밖에 없다.
이런 문제는 현재 저축은행 업권이 맞이한 제도 변화와도 맞물린다. 금융당국은 대형 저축은행을 대상으로 책무구조도 도입을 추진하고 있으며, 2026년 7월까지 제출을 요구하고 있다. 이제 저축은행에서도 내부통제는 선언이 아니라 임원별 책임과 운영 절차로 구체화해야 하는 단계에 들어섰다.
 |
| (사진=연합뉴스) |
◇ 책무구조도 도입, '선언'에서 '실행'의 단계로
책무구조도는 단순히 책임자를 나열하는 문서로 끝나서는 의미가 없다. 외부 접속 구간에 어떤 기능을 둘 것인지, 고객정보 접근 권한을 어디까지 허용할 것인지, 이상 징후 발생 시 어느 조직과 임원에게 즉시 보고할 것인지, 운영 반영 전에 어떤 검증을 거칠 것인지까지 연결돼야 한다. 중요한 것은 책임의 명시가 아니라, 그 책임이 시스템과 절차로 구현되는 방식이다. 책무구조도 도입의 성패는 현장에서 작동하는 체계를 만들 수 있는지에 달려 있다.
모아저축은행 사례는 그 과제를 분명하게 보여준다. 외부 노출 구간과 고객정보 처리 기능의 분리, 운영 반영 전 검증 절차 강화, 권한의 세분화와 정기 점검, 대량 조회와 비정상 접근에 대한 자동 탐지, 경보 발생 시 즉시 보고와 차단 절차가 함께 작동해야 한다.
알파경제 박남숙 기자(parkns@alphabiz.co.kr)
