2신한금융지주를 비롯한 주요 금융그룹 이사회는 지난해부터 AI 기반 사이버공격 위험을 반복적으로 경고해왔습니다.
3금융당국은 CISO의 이사회 보고를 의무화했지만 유출 사고는 막지 못했습니다.
4국회에는 침해사고 시 매출액의 최대 3%까지 과징금을 부과하는 법 개정안이 계류돼 있습니다.
어떻게 볼까요?
취향대로 골라보세요 — 같은 기사를 네 가지 방식으로 만나요
이사회 보안 경고 반복, 고객 2만 5000명 유출 막지 못하다
⏱️ 1분 요약
서울경제에 따르면 신한은행 해킹으로 고객 2만 5000명의 개인정보가 유출됐습니다.
신한금융지주를 비롯한 주요 금융그룹 이사회는 지난해부터 AI 기반 사이버공격 위험을 반복적으로 경고해왔습니다.
금융당국은 CISO의 이사회 보고를 의무화했지만 유출 사고는 막지 못했습니다.
국회에는 침해사고 시 매출액의 최대 3%까지 과징금을 부과하는 법 개정안이 계류돼 있습니다.
5분 정도 여유가 있다면 아래 본문도 가볍게 읽어보세요.
은행 앱에서 "개인정보 유출 안내" 문자를 받아보셨나요? 이사회가 작년부터 보안 투자를 거듭 주문했는데도 유출 사고는 멈추지 않았어요. 경고와 실제 대응 사이에 무슨 틈이 있었는지 짚어봤어요.
01/ 03📉 숫자 확인유출 규모는 얼마나 됐나?
신한은행에서 최근 해킹으로 고객 2만 5000명의 개인정보가 유출됐어요. 신한금융지주 이사회는 올 1월 신한카드 가맹점주 개인정보 유출을 보고받았고, 2월엔 그룹 전체 정보보호 관리체계 강화 방안을 심의했어요. 5월에는 그 관리체계에 대한 감사 결과까지 보고받았어요. 경고와 점검은 이어졌지만 사고는 그 사이에도 터졌어요.
02/ 03🔍 실체 파악이사회는 뭘 경고했나?
사외이사들의 발언은 작년부터 쌓여 있었어요. 송성주 신한금융 사외이사는 작년 3월 "AI를 응용한 신종 공격을 방어하기 위한 투자와 개선 활동을 게을리해서는 안 된다"고 했어요. 야마모토 신지 신한은행 사외이사는 "한 번의 보안 사고가 유동성 위기로 이어질 만큼 치명적일 수 있다"고 경고했어요. BNK금융 김병덕 사외이사도 "BNK금융 역시 예외가 될 수 없다"며 CISO 역할과 자회사 점검을 강조했어요.
03/ 03⚖️ 갈리는 전망경고는 왜 사고를 못 막았나?
같은 보안 경고에도 금융사별로 강조점이 달랐어요.
하나은행 사외이사
권영선 사외이사는 해킹 대비 훈련과 BCP 모의훈련 결과 보고를 직접 요청했어요
우리금융 사외이사
김영훈 사외이사는 "데이터가 이미 외부에 노출되었을 수 있다는 보수적인 가정 하에 대응방안을 마련해야 한다"며 유출 이후 악용 방지에 무게를 뒀어요
사전 훈련 점검이냐 유출 이후 대응이냐, 접근은 갈렸지만 사고는 두 갈래 다 비껴가지 못했어요.
🔎 더 보기: CISO 보고 의무는 왜 생겼나
금융당국은 이사회의 보안 감독 책임을 강화하려고 지난해 전자금융감독규정을 개정해 CISO가 주요 보안 사안을 이사회에 보고하도록 의무화했어요. 그런데도 유출이 발생하자 경고가 실질적 예방 조치로 연결됐는지 점검해야 한다는 목소리가 나와요. 국회에 계류 중인 전자금융거래법 개정안은 침해사고 시 매출액의 최대 3%까지 과징금을 부과하고 CISO 선임에 이사회 의결을 거치도록 하는 내용을 담고 있어요.
💡 한 가지만 기억한다면
이사회가 경고했다는 사실만으로는 사고를 막지 못했어요. 김대종 세종대 교수는 "보안사고 예방과 대응의 최종 책임은 경영진에 있다는 원칙을 분명히 해야 한다"고 말했어요. 결국 중요한 건 경고가 아니라 그 다음 실행이에요.
✍️ 에디터 노트
이사회 회의록에 경고가 몇 번 쌓였는지보다, 그 경고 뒤 예산과 인력이 실제로 움직였는지가 더 궁금한 지점이에요. CISO 보고 의무화만으로 사고가 줄었는지는 다음 분기 유출 통계가 답해줄 거예요.
같은 뉴스, 네 가지 시선. AILENS입니다. 2026년 10월 12일 기준으로 전해드립니다.
한 금융지주의 이사회 회의실. 사외이사가 마이크를 잡습니다. "AI를 응용한 신종 공격에 대한 투자와 개선 활동을 게을리해서는 안 됩니다." 지난해 3월, 임시이사회였습니다. 그리고 몇 달 뒤, 같은 회사에서 고객 정보가 새어 나갔습니다.
이 장면 하나만 보면 이상한 일입니다. 경고가 나왔는데, 왜 사고는 그대로 났을까요.
신한금융지주를 들여다보면 그림이 좀 더 또렷해집니다. 지난해 3월 임시이사회에서 송성주 사외이사가 AI 공격 대응을 점검했습니다. 8월에는 곽수근 사외이사가 "인적·물적 자원의 투자가 충분히 이뤄져야 재발을 막을 수 있다"고 제언했습니다.
이사회는 손을 놓고 있지 않았습니다. 올해 1월엔 신한카드 가맹점주 정보 유출 상황을 보고받았고, 2월엔 그룹 전체 정보보호 체계 강화 방안을 심의했습니다. 5월엔 감사 결과까지 보고받았습니다. 그런데 이 모든 논의 와중에, 신한은행에서 또 해킹이 났습니다. 고객 이만 오천 명의 개인정보가 유출됐습니다.
이게 한 회사만의 일은 아닙니다.
신한은행 이사회에서는 야마모토 신지 사외이사가 지난해 10월 워크숍에서 이렇게 경고했습니다. "한 번의 보안 사고가 유동성 위기로 이어질 만큼 치명적일 수 있다." 하나은행 사외이사는 해킹 대비 훈련 사례와 영업연속성계획, 그러니까 비씨피 모의훈련 결과를 구체적으로 보고하라고 요구했습니다.
케이비금융 이사회에서도 문서 절차에 그치지 말고 전 구성원이 보안의 중요성을 실제로 체감하도록 교육과 캠페인을 강화하라는 의견이 나왔습니다. 비엔케이금융지주에서는 김병덕 사외이사가 "우리도 예외가 될 수 없다"고 못 박았고, 정보보호최고책임자, 씨아이에스오의 역할을 특히 강조했습니다.
아직 개인정보 유출 피해가 확인되지 않은 우리금융 이사회에서도 긴장감은 비슷했습니다. 이은주 사외이사는 AI 기술을 현장에 적절히 적용하는 게 중요하다고 했고, 김영훈 사외이사는 한 걸음 더 나갔습니다. "데이터가 이미 외부에 노출됐을 수 있다는 보수적인 가정 하에 대응방안을 마련해야 한다." 막는 것만으로는 부족하다는 얘기입니다.
여기서 짚어볼 지점이 하나 있습니다. 이사회가 경고만 하고 손 놓고 있었던 건 아니라는 겁니다. 금융당국은 지난해 전자금융감독규정을 개정해서, 씨아이에스오가 주요 보안 사안을 이사회에 의무적으로 보고하도록 만들었습니다. 제도는 이미 바뀌어 있었습니다. 보고 체계도 가동되고 있었습니다. 다만 그 보고가 실제 예방으로 이어졌는지는 다른 문제였습니다.
그래서 지금 나오는 질문은 "경고가 있었나 없었나"가 아닙니다. "경고가 어디서 멈췄나"입니다. 김대종 세종대 경영학부 교수는 침해사고 대응 훈련의 실효성, 내부 전문인력 확보 수준, 협력업체의 시스템 접근권한 관리까지 종합적으로 점검해야 한다고 말합니다. 그리고 이렇게 덧붙였습니다. "보안사고 예방과 대응의 최종 책임은 경영진에 있다는 원칙을 분명히 해야 한다."
이사회가 말을 안 한 게 아니라, 그 말이 현장에서 어떤 조치로 바뀌었는지가 비어 있다는 뜻입니다. 그 빈자리를 누가, 어떻게 채울지는 아직 답이 나오지 않았습니다.
제도는 한 걸음 더 나가고 있습니다. 국회에 계류 중인 전자금융거래법 개정안은 침해사고가 나면 매출액의 최대 3%까지 과징금을 매기고, 씨아이에스오를 선임할 때 이사회 의결을 거치도록 하는 내용을 담고 있습니다. 여당 관계자는 국정감사 이후 법안 논의가 본격화될 거라고 전망했습니다. 다만 이 법이 통과된다 해도, 보고 의무가 늘어나는 것과 실제 사고가 줄어드는 것 사이의 간극은 여전히 남는 문제입니다.
정리하면, 오늘 핵심은 이겁니다. 이사회는 경고했고, 제도는 보고를 의무화했습니다. 그런데 사고는 났습니다. 이 세 가지 사실 사이에 있는 틈, 그 틈을 누가 메울 것인가가 지금 금융권이 풀어야 할 숙제입니다.
