“자세한 내용은 아직 파악 중입니다.”
최근 금융권 해킹 사태를 취재하면서 가장 많이 들은 말이다. 어느 금융사에서 해킹 사고가 발생했다는 소식에 피해 규모와 유출 경로 등을 물으면 돌아오는 답변은 대개 비슷했다. 금융 당국에 물어도 “구체적인 내용을 밝히기는 어렵다”는 답이 돌아오기 일쑤였다.
섣불리 정보를 공개했다가 고객 불안을 키울 수 있다는 금융사와 금융 당국의 설명도 일견 타당하다. 하지만 고객 입장에서 가장 불안한 것은 정작 자신의 어떤 정보가 유출됐는지조차 알 수 없다는 사실이다.
실제로 금융사들이 피해 사실을 잘못 파악해 고객 공지를 정정한 사례도 잇따랐다. KB국민은행이 처음 밝힌 개인정보 유출 대상자는 119명이었지만 24일 뒤 2210명으로 늘어났다. 최초 발표에 없던 대출 약정 금액, 신용카드 연체 정보 등 유출 항목도 추가됐다. 예가람저축은행은 처음에는 유출 규모조차 알리지 않았다가 2주 뒤 피해 인원이 4만 3246명에 달한다고 공지했다. 금융권에 대한 고객들의 불신이 커질 수밖에 없는 대목이다.
금융 정보 유출은 금융 사기로 이어질 수 있다는 점에서 더욱 심각하다. 가령 사기범이 고객의 실제 연체 정보를 이용해 ‘카드 연체금 확인’을 요구하는 문자를 보낸다면 이를 의심하기는 쉽지 않다. 자신의 어떤 정보가 유출됐는지 알았다면 한 번 더 의심했을 문자도 무심코 눌러볼 수 있는 셈이다.
금융사들은 해커들이 인공지능(AI)을 활용해 기존에 드러나지 않던 보안 취약점을 공격하는 만큼 사고 직후 피해 규모를 정확하게 파악하기가 어렵다고 말한다. 하지만 해킹 이후의 미숙한 대처까지 기술 발전 탓으로 돌릴 수는 없다. 공격을 막지 못한 책임과 사고 이후 대응을 소홀히 한 책임은 별개다.
완벽한 보안이 불가능하다면 사고 이후의 대응 체계를 더 철저히 갖추는 것이 당연하다. 금융 당국도 금융사들이 침입을 얼마나 빨리 탐지하고 피해 범위를 정확히 파악하는지, 확인된 사실을 고객에게 제때 알리는지 따져야 한다. 해킹을 막지 못한 것보다 사고 이후 피해 사실조차 제대로 설명하지 못하는 일이 금융사에 대한 신뢰를 더 크게 무너뜨릴 수 있다.