"가짜 메일 수개월 못 걸렀다"…LS증권 사고, 내부통제 허점 도마 위

[한국금융신문 김희일 기자] LS증권에서 발생한 수십억 원대 무단 자금 인출 사고를 계기로 증권업계의 내부통제 체계가 다시 도마에 올랐다. 회사는 자체 전산망 해킹은 없었다고 선을 긋지만, 금융당국은 수개월 동안 가짜 이메일에 따른 거래와 현금 인출이 반복되는 과정에서 내부 견제 장치가 제대로 작동했는지 초점 맞추고 있다.

8일 금융투자업계에 따르면 서울경찰청 사이버수사대는 LS증권 직원이 해킹된 이메일을 정상 지시로 오인해 외국인 투자자의 주식 매매와 현금 인출 업무를 처리하면서 수십억 원의 자금이 무단 인출된 사건을 수사 중이다.

이번 사건은 증권사 전산 시스템이 직접 해킹된 사고라기보다 외국인 투자자의 이메일 계정이 탈취된 뒤 이를 신뢰한 직원이 업무를 처리하면서 발생한 것으로 알려졌다.

하지만 금융당국은 사고 원인을 단순한 이메일 해킹으로만 보지 않는 분위기다. 주문과 자금 인출이 여러 차례 반복되는 과정에서 투자자 본인에 대한 별도 확인 절차나 이상거래 탐지, 다중 승인 등 내부통제 장치를 제대로 작동시켰는 지가 핵심 점검 대상으로 본다.

특히 외국인 상임대리인 업무 특성상 이메일을 통한 주문 전달이 빈번해도 거액의 매매나 현금 인출이 발생시 전화 확인이나 추가 인증 절차를 할 수 있다. 이의 이행 여부가 향후 책임 판단의 기준이 될 것으로 보인다.

업계에선 이번 사건이 단순한 보안 사고보다 '업무 프로세스 리스크'를 드러냈다는 평가도 나온다. 최근 금융권 내부통제의 초점은 전산 보안은 물론 임직원의 업무 처리 과정 전반으로 확대되고 있다. 이런 가운데 사회공학적 기법을 활용한 이메일 사기가 기존 내부통제를 무력화시켰다는 지적이 나온다.

한 증권사 관계자는 "시스템이 뚫리지 않았다고 해서 내부통제 책임까지 면제되는 것은 아니다"며 "거액 거래나 현금 인출 과정에서 본인 확인 절차가 충분했는지가 가장 중요한 쟁점이 될 것"이라고 말했다.

또 다른 업계 관계자는 "외국인 상임대리인 업무는 이메일 기반으로 진행되는 경우가 적지 않다. 하지만 최근 이메일 계정 탈취가 늘면서 전화 재확인이나 다중 인증을 의무화하는 방향으로 업무 절차를 재점검해야 한다는 목소리도 커질 가능성이 있다"고 말했다.

LS증권은 자체 시스템 해킹은 확인되지 않았으며 사고 인지 직후 금융감독원에 보고하고 경찰에 직접 수사를 의뢰했다고 밝힌 상황이다. 금융보안원 조사에서도 회사 전산망이 외부 공격을 받은 흔적은 발견되지 않았다는 설명이다.

다만 금융감독원은 시스템 침해 여부와 별개로 사고 예방을 위한 내부통제 절차가 적절했는지를 살펴보고 있다. 점검 결과에 따라 외국인 상임대리인 업무 전반에 대한 내부통제 기준 강화도 검토될 것으로 보인다.

이번 사고는 최근 금융권이 횡령과 배임, 전산 보안에 이어 사회공학적 금융사기에 대한 대응 능력까지 내부통제 평가 대상에 포함하는 계기가 될 전망이다. 업계에선 단순한 시스템 보안보다 사람과 절차를 포함한 업무 프로세스 전반의 통제 체계를 다시 점검해야 한다는 지적이 나오고 있다.

한편, 이번 사안 관련 LS증권측 관계자는 " 회사가 이번 사안관련 인지를 먼저 했고 경찰 수사도 의뢰를 했다. 나아가 규정대로 고객 접촉시에도 전화 이메일 팩스로 고객 상황을 다 파악 했다. 그럼에도 해킹으로 뚫린 것인데 회사가 내부 통제 의무 이행을 다하지 않은 것으로 보는 시각은 억울한 측면이 있다"고 토로했다.

김희일 한국금융신문 기자 heuyil@fntimes.com