외주 재위탁 과정서 우리은행 개인정보 유출…은행권 '제3자 리스크'에 내부통제 비상

수탁사 관리 공백에 고객정보 1만7551건 노출
금감원 "내부통제 미흡"…관리 사각지대 점검 필요

우리은행이 업무를 위탁한 외부 개발업체가 고객 개인정보를 유출하면서 금융권의 '제3자 리스크 관리'가 내부통제의 주요 과제로 떠오르고 있다. 수탁사의 재위탁 과정에서 발생한 관리 공백이 사고로 이어진 만큼, 은행들이 외주업체 전반에 대한 관리·감독 체계를 재점검해야 한다는 지적이 나온다.

7일 금융권에 따르면 우리은행이 지난 3일 공지를 통해 밝힌 고객 개인정보 약 1만7551건 유출 사고는 우리은행으로부터 업무를 위탁받은 원청업체가 이를 재위탁하는 과정에서 발생했다.

금융감독원은 사고 경위를 파악하는 동시에 후속 점검을 준비하고 있지만, 현재로서는 정보 유출 자체보다는 내부통제 미흡에 방점을 찍고 있다. 지금까지 확인된 유출 정보는 온라인상 개인 식별에 활용되는 암호화 정보인 연계정보(CI)와 고객 닉네임이다. CI는 개인정보보호법상 개인정보에 해당해 개인정보보호위원회가 우리은행을 조사 중이다. 다만 신용정보법상 신용정보는 아니어서 현 단계에서는 금감원 검사 대상이 아니라는 게 금감원의 설명이다. CI가 고도로 암호화된 정보로, 소비자 피해가 발생하기 어렵다는 점도 고려되고 있다.

금감원 관계자는 "현재 사실관계를 보고받으며 개보위의 조사 결과를 지켜보고 있다"며 "외주업체에 대한 관리·감독에 미흡한 부분이 있었고, 내부통제 측면에서 보완이 필요한 사안으로 보고 있다"고 밝혔다.

다만 금감원은 이번 사고만으로 별도 검사에 착수할 계획은 없는 것으로 전해졌다. 개보위 조사 과정에서 신용정보 유출 사실이 확인될 경우 검사에 나설 방침이지만, 현재까지 관련 정황은 확인되지 않았다.

우리은행은 유출된 정보가 2024년 9월 대체불가토큰(NFT) 플랫폼 구축 과정에서 외부 개발업체에 제공된 자료라고 밝혔다. 해당 자료는 프로젝트 종료 이후 폐기됐어야 했지만, 업체 직원이 임의로 보관한 뒤 IT 개발자 플랫폼에 공유하면서 외부에 노출된 것으로 파악됐다.

이번 사고는 금융권의 제3자 리스크 관리 취약성을 드러낸 사례로 평가된다. 금융회사들이 디지털 전환 과정에서 IT 개발과 운영을 외부에 맡기는 사례가 늘고, 재위탁도 확대되면서 관리 범위 역시 넓어지고 있다. 그러나 위탁·재위탁 과정의 관리 공백이 정보보안 사고로 이어질 수 있다는 점이 확인되면서 내부통제 차원에서 제3자 리스크 관리를 강화해야 한다는 목소리가 커지고 있다.

금융권에서는 향후 금감원 후속 점검 과정에서 수탁사 관리 개선을 요구하는 수준의 행정조치가 내려질 가능성이 크다고 보고 있다. 추가 신용정보 유출이 확인되지 않을 경우 경영유의 조치 수준에 그칠 것으로 보인다.

금융권 관계자는 "이번 사안의 핵심은 은행 업무의 위탁·재위탁 구조에서 발생할 수 있는 제3자 리스크를 어떻게 관리하느냐에 있다"며 "디지털 전환이 가속화될수록 외주업체 관리·감독 체계를 함께 고도화하고 내부통제를 강화할 필요가 있다"고 말했다.

권해영 기자 roguehy@asiae.co.kr