67시간 걸린 뒤늦은 인지
2026년 10월 19일 국회 정무위원회 국정감사에는 5대 은행장이 나란히 증인으로 나왔습니다. KB국민 이환주, 신한 정상혁, 하나 이호성, 우리 정진완, NH농협 강태영 행장입니다.
가장 먼저 드러난 건 대응 속도였습니다. KB국민은행은 해킹 사실을 파악하기까지 67시간 41분이 걸렸고, 하나은행은 41시간 44분, 신한은행은 15시간 26분이 소요됐습니다. 유출 규모는 신한 2만5,729명, 국민 119명, 하나 89명으로 집계됐습니다.
국민은행은 유출 정황을 최종 확인한 시점이 30일 오후 7시로 드러나 늑장 대응이라는 지적을 받았습니다. 로그 삭제 지시 여부도 쟁점이 됐는데, 이환주 행장은 그런 지시를 받지 않았다고 답했습니다.
책임은 어디까지
이찬진 금융감독원장은 이번 사태가 CEO 내부통제 관리 의무와 연결된 첫 사례가 될 수 있다고 언급했습니다. 보안 부서만이 아니라 경영진까지 책임 범위가 넓어질 수 있다는 신호입니다. 해킹 발생 시 은행장 보고 시간을 줄이고 CISO와 CEO 책임을 강화하는 방안도 준비 중입니다.
은행권은 보상 카드를 꺼냈습니다. 국민은행은 유출 고객 전원에 대해 고객 과실과 무관하게 2차 피해가 생기면 전액 보상하겠다고 밝혔습니다. 하나은행은 실제 피해가 발생하면 100% 배상하겠다고 약속했고, 신한은행은 우선 수수료 면제로 보상에 나섰습니다.
다만 의원들은 유출 자체에 대한 책임을 요구했습니다. 신한은행이 보안 취약점 점검을 두 차례 했는데도 대규모 유출 위험을 잡아내지 못했다는 지적도 나왔습니다.
망분리 완화와 남은 숙제
금감원은 망분리 규제를 단계적으로 완화하겠다는 방침도 내놨습니다. 1차 10곳, 2차 15곳을 선정해 추진하되 안정성 확보를 우선한다는 겁니다. 시스템 개편에 예산과 시간이 만만치 않기 때문인데요. AI 기반 방어 체계로 외부 노출을 최소화하는 방식입니다.
보안 감독의 틀도 바뀝니다. 사전 예방 중심으로 전환하고, IT 자산 식별·관리 의무화와 AI 침투를 포함한 모의해킹 훈련 확대가 추진됩니다. 전자금융거래법 개정에는 이행강제금 신설, CISO 독립성 강화, 정보보호 공시, 징벌적 과징금 도입이 담겼습니다.
문제는 실효성입니다. 긴급 보안점검에서 555개 금융사 중 130곳이 미흡한 것으로 드러났고, 나머지 425곳은 자체 점검에서 취약점이 없다고 보고했습니다. 이 원장은 전수조사를 다시 하겠다고 밝혔습니다. 해킹된 개인정보가 온라인에서 건당 8,000원에 거래된다는 지적까지 나온 만큼, 남은 과제는 결국 실행력입니다. 금감원은 11월 혁신안을 제출할 예정입니다.