카드업계 '보안 투자 부실 미흡' 국감서 도마에...이찬진 원장 "전방위적 대응"

[녹색경제신문 = 나희재 기자] 국내 주요 카드사들의 정보보호 투자가 급증하는 해킹 시도에 비해 여전히 미흡한 수준에 머물러 있는 것으로 나타났다.

22일 녹색경제신문 취재에 따르면, 지난 8월 롯데카드의 온라인 결제 서버가 해킹돼 200GB에 달하는 고객 데이터가 유출되는 초유의 사태가 발생했음에도 업계 전반의 보안 인력과 예산이 턱없이 부족하다는 지적이 국정감사에서 제기됐다. 금융당국은 이번 사태를 계기로 카드사의 보안 체계를 전면 재점검하겠다는 방침이다.

박찬대 더불어민주당 의원이 8개 카드사로부터 제출받은 자료에 따르면, 최근 5년간 카드사 전체 정보보호 예산은 2021년 1074억원에서 2025년 1317억원으로 22.6% 증가하는 데 그쳤다.

같은 기간 정보보호 전담 인력은 315명에서 452명으로 약 43% 늘었지만, 금융보안원의 일평균 해킹 대응 건수가 2021년 6909건에서 올해 8월 기준 11만4288건으로 1554% 폭증한 점을 감안하면 실질적 대응 여력은 여전히 부족하다는 평가다.

카드사별 예산 격차도 두드러졌다. 현대카드는 같은 기간 정보보호 예산을 75억원에서 138억원으로 84% 확대하며 가장 큰 폭의 증액을 단행한 반면, 삼성카드는 224억원에서 206억원으로 오히려 8% 줄였다. 전담 인력 규모 역시 우리카드는 11명에서 35명으로 늘린 반면, 하나카드는 5년 전과 동일한 16명 수준에 머물렀다.

박 의원은 “카드사들의 보안 투자가 급증하는 해킹 시도에 비하면 제자리걸음 수준에 머물러 있다는 사실이 확인됐다”며 “정부의 정보보호 강화 기조에 맞춰 민간 금융사도 스스로 방어 체계를 촘촘히 갖춰야 한다”고 강조했다.

이어 “금융위원회 차원에서 최소 보안 투자 기준을 마련하고, 우수사에는 인센티브를, 미흡사에는 페널티를 부과하는 선순환 구조를 만들어야 한다”며 “국민의 지갑을 지키는 정보보호는 비용이 아니라 금융 인프라의 기본”이라고 지적했다.

보이스피싱 피해에 대한 제도적 공백 문제도 도마에 올랐다. 김재섭 국민의힘 의원은 “계좌 송금 형태의 피해는 ‘통신사기피해환급법’으로 보호받을 수 있지만, 신용카드 결제를 통한 보이스피싱은 여신(대출) 거래로 분류돼 피해 보상이 불가능하다”며 “같은 피해임에도 카드사별 대응이 제각각인 점은 심각한 문제”라고 꼬집었다.

김 의원이 공개한 사례에 따르면, 같은 피해 상황에서도 카드사마다 대응이 천차만별이었다. 현대카드는 결제대행사(PG사) 조사 후 피해자 환불 조치를 취한 반면, 삼성카드는 피해 고객에게 무이자 할부를 불허하고 연 18%의 고금리 이자를 요구한 것으로 알려졌다. 롯데카드는 ‘금감원 신고를 취소하면 무이자 할부를 해주겠다’는 발언을 피해자에게 했다는 주장도 제기됐다.

이에 대해 이찬진 금융감독원장은 해킹 및 보이스피싱 등 민생금융범죄에 대한 전방위적 대응 강화 의지를 밝혔다.

이 원장은 “민생금융범죄 전담 조직을 대폭 확대하고, 금융위원회와 협의해 특별사법경찰(특사경) 제도를 도입해 조사·수사 역량을 강화하겠다”며 “카드사별 대응 편차를 줄이고, 업권별 불균형이 발생하지 않도록 관리하겠다”고 말했다.

또한 통신사기피해환급법 개정을 통해 ‘무과실 배상 책임’ 조항을 신설하는 입법 보완도 추진 중이라고 밝혔다.

이 원장은 “영국의 경우 보이스피싱 피해액 1억6000만원 이하에 대해 무과실 배상을 실시하고 있다”며 “우리나라도 연내 입법 발의를 목표로 관련 제도를 정비하겠다”고 설명했다.