금융사고 3년 가까이 몰랐다…91건은 한 달 지나서 인지

5년간 금감원 보고된 사고 2189건
롯데손보 902일·토스뱅크 670일 뒤 인지

은행, 보험회사, 저축은행 등 금융회사에서 전자금융 사고 발생 이후 한 달 넘게 이를 알아채지 못한 사례가 최근 5년간 90건을 넘은 것으로 나타났다. 일부 금융사는 사고 발생 사실을 3년 가까이 파악하지 못한 것으로 드러났다. 사고 인지 및 대응 관련 내부 모니터링 체계를 강화해야 한다는 지적이 나온다.

서울 중구 롯데손해보험 사옥. 롯데손보

5일 국회 정무위원회 소속 김형연 조국혁신당 의원이 금융감독원으로부터 제출받은 자료에 따르면 2022년부터 올해 8월까지 금융감독원에 보고된 전자금융사고와 침해사고는 총 2189건으로 집계됐다. 이 중 사고 발생일부터 금융사가 이를 인지하기까지 30일 이상 걸린 사례 건수는 91건(43개사)이었다. 17건은 사고 발생 사실을 1년 넘게 파악하지 못했다.

금융사 32개사에서는 75건의 사고를 30일 이상 지나서야 파악했다. 간편결제·결제대행 등을 영위하는 전자금융업자 11개사에서는 16건이 발생했다.

사고 인지가 가장 늦었던 회사는 롯데손해보험 이었다. 2023년 11월1일 발생한 프로그램 오류를 지난 4월21일에야 인지해 902일이 걸렸다. 토스뱅크도 2022년 5월7일 발생한 프로그램 오류를 670일이 지난 2024년 3월7일에야 파악했다. AIA생명은 2024년 11월 발생한 프로그램 오류를 621일 뒤에 인지했다.

은행권에서도 수백일간 사고를 인지하지 못한 사례가 있었다. 하나은행은 2025년 4월 발생한 프로그램 오류를 507일 뒤에 발견했고, 해당 사고로 고객 112명에게 714만원을 배상했다. 신한은행도 2023년 12월 발생한 프로그램 오류를 471일 뒤에야 파악했다. 신한은행에서 사고 인지까지 180일 이상 걸린 사례는 총 4건으로 5대 은행(KB국민·신한·하나·우리·NH농협) 가운데 가장 많았다.

전자금융업자 중에서는 티머니가 2024년 1월 발생한 프로그램 오류를 428일 뒤인 지난해 3월에 발견했다. 해당 사고로 6071명에게 총 727만원을 배상했다.

사고 인지까지 30일 이상 걸린 사례가 가장 많았던 금융사는 토스뱅크로 9건이었다. 수협은행과 KB국민은행이 각각 7건, 우리은행·신한은행· 카카오뱅크 가 각각 5건이었다. 전자금융업자 중에서는 비바리퍼블리카와 티머니가 각각 3건이었다.

장기간 인지하지 못한 사고 대부분 해킹 등 외부 공격보다 내부 프로그램 오류에서 비롯됐다. 30일 이상 뒤늦게 발견된 91건 가운데 프로그램 오류가 81건으로 89%를 차지했다. 외부 공격을 막는 보안체계뿐 아니라 전산 프로그램이 정상적으로 작동하는지에 대한 내부 모니터링도 중요하다는 지적이 나오는 배경이다.

엑심베이는 2022년 10월 발생한 정보유출사고를 309일 뒤인 2023년 8월 인지했다. iM뱅크는 보안취약점에 따른 침해사고를 178일 뒤에 파악했다. 지난해 대규모 개인정보 유출을 겪은 롯데카드도 악성코드 침해사고 발생일부터 인지일까지 19일이 걸렸다.

김 의원은 "소비자들은 은행을 믿고 돈과 개인정보를 맡기는데 정작 은행이 사고 발생 후 몇 달씩 이를 몰랐다면 소비자는 도대체 누구를 믿어야 하느냐"며 "금융권의 연이은 사고에 대한 예방·대응 체계와 금융당국의 관리·감독이 제대로 작동하고 있는지 꼼꼼히 따져보겠다"고 말했다.

문채석 기자 chaeso@asiae.co.kr