2026년 10월 8일 국회 정무위원회 국정감사에서 김현정 의원은 신한은행의 2만 5000여 건의 고객 정보 유출 사고를 내부 통제 시스템 부재로 인한 인재라고 지적했습니다.
이억원 금융위원장은 금융권 AI 해킹 대응 체계가 기본적으로 미흡했음을 인정하며, 이를 해결하기 위해 망분리 규제 개선과 성과급 환수 제도인 '클로백'을 지배구조 개선법에 반영하는 방안을 논의하겠다고 밝혔습니다.
에디터 분석
형식적 인증 뒤에 숨은 책임의 공백
보안 등급이 높다는 평가가 실제 사고를 막는 방패가 되지 못하는 이유는 평가 지표와 실제 집행 사이의 괴리 때문이다. 서류상으로는 완벽한 체계를 갖췄더라도 실제 예산이 투입되지 않거나 운영 체계가 작동하지 않으면 보안은 껍데기에 불과하다.
더 심각한 문제는 사고의 결과와 경영진의 보상이 분리되어 있다는 점이다. 시스템 부재로 대규모 정보 유출이 발생했음에도 경영진이 성과급을 받는 구조는 내부 통제 강화를 저해하는 핵심 원인이 된다. 책임자가 실패의 비용을 지지 않고 보상만 챙기는 구조에서는 보안 투자가 비용으로만 인식될 가능성이 크다.
성과급 환수라는 실질적 책임 추궁에 집중한 보도
머니투데이, 뉴스1, 서울신문은 모두 이번 사고를 단순한 외부 공격이 아닌 내부 통제 실패로 규정하고 성과급 환수 제도인 클로백 도입 필요성에 주목했다. 특히 머니투데이는 신한은행이 정보보호 S등급을 받았음에도 실제 예산 집행 규모가 5대 은행 중 가장 작았다는 점과 은행장이 1분기에 4억 원의 성과급을 받은 구체적 사실을 짚어내며 형식적 평가와 실질적 운영의 괴리를 날카롭게 지적했다.
반면 서울신문은 망분리 규제 개선과 같은 제도적 대안과 금융위원장의 책임론 등 행정적 대응에 더 많은 비중을 두었다. 전반적으로 이번 보도들은 사고의 기술적 원인보다 '누가 책임을 지고 어떻게 보상을 환수할 것인가'라는 지배구조의 문제로 본질적인 질문을 옮겨갔다는 점에서 의미가 있다.
6년 연속 보안 최고등급 공시 한 달 반 만에 정보 유출 발생
새로운 보도 1개 매체보안 등급이라는 지표가 얼마나 무력한지가 구체적인 시차로 증명됐다. JIBS는 신한은행이 6년 연속 보안 점검 최고등급(S등급, 100점)을 공시한 지 불과 한 달 반 만에 2만 5,727건의 정보가 유출됐다는 사실을 짚어냈다.
단순히 예산 집행이 적었다는 분석을 넘어, 최고 수준의 보안 인증을 받았다고 대외적으로 공표한 직후에 대규모 사고가 터졌다는 점은 공시 체계의 허구성을 드러낸다. 이는 형식적 인증이 실제 방어력과 아무런 상관관계가 없음을 보여주는 구체적인 증거다.
