신한·KB·하나 잇단 해킹…국감 도마 오른 은행장들, 연임에도 영향 갈까 [은행은 지금]

[한국금융신문 장호성 기자] 신한은행과 KB국민은행, 하나은행, BNK부산은행 등 주요 시중은행에서 잇따라 정보유출 사고가 발생하면서 금융권 보안 문제가 올해 국정감사의 핵심 쟁점으로 급부상하고 있다.

당초 정무위원회 1차 증인 명단에는 포함되지 않았던 주요 은행장들을 추가로 불러 사고 원인과 책임을 따져야 한다는 목소리가 국회 일각에서 나오고 있다.

이번 사태가 국감에 그치지 않고 연말 은행장 인사에도 영향을 미칠지에도 관심이 쏠린다. 이환주닫기이환주기사 모아보기 KB국민은행장과 정상혁닫기정상혁기사 모아보기 신한은행장, 이호성닫기이호성기사 모아보기 하나은행장, 정진완닫기정진완기사 모아보기 우리은행장 등 주요 은행장들의 임기는 올해 말 모두 만료된다. 정상혁 행장은 세 번째 임기에 도전하고, 나머지 행장들은 첫 연임 여부를 심사받는 상황이다.

금융당국의 조사에서 기본적인 보안조치를 갖추지 않았거나 이미 파악된 취약점을 방치한 사실, 사고 징후를 장기간 탐지하지 못한 정황 등이 확인될 경우 보안 사고가 단순한 전산 문제를 넘어 경영진의 내부통제·관리 책임 문제로 확대될 가능성이 있다는 것이 핵심이다.

외부접점·인증 허점 조준한 금융위

금융당국의 시선은 공격 주체보다 금융회사 내부의 보안 관리체계에 맞춰져 있다.

금융위원회는 연휴 기간이던 지난 4일, 이환주 국민은행장과 정상혁 신한은행장, 이호성 하나은행장을 비롯한 7개 금융사 관계자와 이찬진닫기이찬진기사 모아보기 금융감독원장, 박상원 금융보안원장, 금융업권별 협회장 등을 소집해 긴급 점검회의를 진행했다.

금융위가 선을 그은 대목은 '알고도 막지 못한 사고'다. 이 위원장은 이미 공유된 공격 IP와 공격수법, 사고사례가 있음에도 필요한 점검이나 대응을 소홀히 해 유사 사고가 발생할 경우 관련 법령에 따라 엄정하게 책임을 묻겠다고 강조했다.

국감에서는 이번 해킹을 비롯해 금융회사가 전산·침해사고를 제때 탐지할 능력을 갖추고 있었는지가 쟁점이 될 전망이다. 국회 정무위원회 소속 김형닫기김형기사 모아보기연 조국혁신당 의원이 금융감독원에서 제출받은 자료에 따르면 2022년부터 올해 8월까지 금감원에 보고된 전자금융사고와 침해사고는 총 2189건이다. 이 가운데 사고 발생 후 이를 인지하기까지 한 달 이상 걸린 사례가 43개사 91건으로 집계됐고, 17건은 1년이 넘어서야 사고를 파악했다.

또 다른 문제는 금융회사마다 과거 기록을 점검한 기간이 달랐다는 점이다. 일부 금융회사는 최근 3개월치만 살펴본 것으로 파악됐다. 동일한 침해지표를 받아도 3개월을 보느냐 1년을 보느냐에 따라 파악되는 공격 흔적이 달라질 수 있는 셈이다. 김 의원 측도 전 금융권에 통일된 점검기간과 기준을 마련해야 한다는 입장이다.

금융사고와 연임 사이, 법적 결격과 ‘CEO 적격성’ 구분

이번 사고가 연말 은행장 인사에 미칠 영향은 금융당국의 제재 수위와 각 금융그룹의 자체적인 최고경영자(CEO) 적격성 판단에 따라 갈릴 전망이다.

정보유출 사고가 발생했다는 사실만으로 은행장이 곧바로 연임 결격 사유에 해당하는 것은 아니다. 다만 당국 검사에서 행장의 내부통제·관리 책임이 확인돼 문책경고 이상의 제재로 이어진다면 법률상 임원 자격 제한이 발생할 수 있다.

현행 금융사지배구조법상 임원에 대한 제재 가운데 문책경고는 3년, 직무정지는 종료일 등을 기준으로 4년, 해임요구는 5년 동안 금융회사 임원 자격이 제한된다. 반면 주의나 주의적 경고 등 그보다 낮은 수준의 제재는 곧바로 임원 결격으로 이어지지 않는다. 이번 사고가 실제 연임 불가 사유가 되려면 단순히 은행에 제재가 내려지는 것을 넘어 해당 행장 개인에게 어느 수준의 책임이 인정되는지가 중요하다.

그러나 법적으로 임원 자격을 유지한다고 해서 연임까지 보장되는 것은 아니다. 주요 금융지주가 자체적으로 마련한 CEO 자격요건을 보면 법정 결격 여부보다 폭넓은 기준으로 후보자의 경영 능력과 적격성을 판단하도록 하고 있다.

KB금융은 정관에서 각 계열사의 최고경영자에게 리더십 경험과 업무 전문성뿐 아니라 도덕성을 갖추고 장·단기 건전경영에 노력할 것을 요구하고 있다.

하나금융도 임원 자격과 관련해 업무성과와 전문성, 윤리성 등의 별도 기준을 둘 수 있도록 하고 CEO에게 공익성과 건전경영 역량을 요구하고 있다.

우리금융 역시 임원에게 금융업 전반의 전문지식과 경험, 도덕성을 요구하고 CEO 선임 과정에서는 금융 경험과 지식, 공익성, 건전경영 등을 검증하도록 규정하고 있다. 특히 올해 은행장 승계 절차부터는 우리은행 임원후보추천위원회가 후보자의 경영성과를 별도로 점검하고 외부 전문기관까지 참여시켜 경영능력을 다각적으로 검증하기로 했다.

신한금융도 올해 신한은행 임추위에 후보 추천 권한을 새롭게 부여하는 한편 자회사별 CEO 자격요건과 세부 평가기준을 한층 구체화해 후보 심의에 활용키로 했다.

금감원 조사 결과 행장 개인에게 문책경고 이상의 중징계가 내려진다면 법적인 연임 제한 문제로 직결될 수 있지만, 그보다 낮은 수준의 제재에 그치더라도 안심하기는 어렵다. 법률상 ‘결격’에 해당하지 않더라도 이번 사고에서 드러난 관리 책임이 각 그룹이 정한 도덕성·건전경영·경영성과 등 CEO 자격요건에 부합하는지를 두고 임추위의 별도 판단을 받아야 하기 때문이다.

롯데카드 사례로 본 경영진 책임…위험인지 여부 관건

지난해 있었던 롯데카드 정보유출 사태가 비교선상에서 언급된다. 다만 당시 조좌진 전 대표가 법이나 금융당국의 해임 요구에 따라 물러난 것은 아니다. 조 전 대표는 2025년 11월 정보유출 사고에 대한 경영 책임을 이유로 스스로 사임 의사를 밝힌 뒤 같은 해 12월 자리에서 물러났다.

사고와 관련한 법적 책임은 이후 금융당국의 제재 과정에서 별도로 현실화됐다. 금감원 검사 결과 롯데카드는 보안패치와 침입탐지시스템, 개인정보 암호화, 백신 프로그램 등에서 여신전문금융업법과 신용정보법 등에 따른 안전조치 의무를 제대로 이행하지 않은 것으로 나타났다.

특히 사고 발생 두 달 전인 2025년 6월 CISO가 리눅스 서버에 백신 프로그램이 설치되지 않은 위험을 대표이사 등 경영진에 보고했는데도 별다른 보완조치가 이뤄지지 않은 사실도 확인됐다.

금융당국은 결국 롯데카드에 업무정지 1.5개월과 과징금 50억원을 부과했고, 이미 퇴임한 조 전 대표에게도 문책경고 수준의 위법·부당사항을 통보했다. 정보유출 자체뿐 아니라 경영진이 사전에 위험을 인지하고도 적절한 조치를 취하지 않았는지가 CEO 책임을 판단하는 데 중요하게 작용한 셈이다.

현행 금융사지배구조법은 대표이사를 내부통제 전반의 최종 책임자로 두고 잠재적인 위험요인과 취약분야, 담당 임원들의 관리의무 이행 여부까지 점검하도록 하고 있다. 당국 조사에서 이미 알려진 공격정보나 취약점을 인지하고도 대응하지 않은 사실이 확인될 경우 행장 책임을 둘러싼 판단이 한층 직접적으로 이뤄질 가능성이 있는 이유다.

장호성 한국금융신문 기자 hs6776@fntimes.com