알고도 또 뚫린 OK저축은행… '10년 장수 CEO' 정길호 책임론

[땅집고] 저축은행 업계 총 자산 기준 2위 업체인 OK저축은행이 이번 금융업계 연쇄 해킹 사태에서 보안 취약점을 드러냈다는 평가가 나온다. 정보 유출 피해 고객 수는 518명으로 큰 편이 아니었지만 첫 해킹 피해를 인지하고 대응하던 중에 2차 해킹을 당하는 등 유독 부실한 대처를 보여서다. 금융당국이 해킹 사고에서 처음으로 최고경영자(CEO)의 책임을 묻겠다고 밝힌 상황이어서, 10년째 회사를 이끌어 온 정길호 대표가 책임을 피하기 어렵다는 관측이 나온다.

◇ 13시간 지나서야 알아채고, 알고도 또 뚫렸다

OK저축은행 발표에 따르면 첫 공격은 지난 11일 오후 8시 44분 대출 신청 웹페이지에서 시작돼 이튿날 오전 2시 14분까지 이어졌다. 회사가 이를 알아챈 건 12일 오전 10시로, 공격이 시작된 지 13시간이 지난 뒤였다. 이름, 연락처, 주소, 직장명, 계좌번호, 연 소득, 대출 금액이 새어 나갔다. 회사는 자체 점검으로 피해 고객을 183명이라고 했지만, 외부 전문업체가 다시 조사하자 250명으로 늘었다.

이때 OK 저축은행이 한 조치는 권한 검증 로직을 넣고 의심 IP를 막는 정도에 그쳤다. 회사는 "시스템 전반을 재점검하겠다"고 했다. 그 재점검이 진행되던 15일 새벽 3시 32분부터 4시간 동안 모바일 예금 서비스 페이지에 대한 2차 공격이 있었다. 회사는 “긴급 보안 점검과 모니터링 강화를 조기에 완료하였습니다”라는 발표 자료를 내보낸 직후인 10시가 돼서야 2차 공격을 인지했다.

OK저축은행의 두번째 정보 유출은 회사가 해킹을 인지하고 금감원에 신고한 후, 대응에 나선 상태에서 일어났다는 점에서 더욱 눈에 띈다. KB국민은행도 첫 침입 이틀 뒤 2차 공격을 받았지만 해킹 사실을 아직 모르던 때였다. 특히 OK 저축은행의 2차 정보 유출 시점은 금융위원회가 14일 전 금융사에 "외부와 연결된 모든 접점을 점검하라"고 지시한 바로 다음 날이었다. 업계 관계자는 “회사가 이상행위 탐지·차단 솔루션 등을 첫 사고 직후 모든 창구에 함께 적용했다면 막을 수 있었을 것”이라고 지적했다.

OK저축은행이 보안 문제로 지적받은 건 처음이 아니다. 금감원은 2024년 4월 OK저축은행이 신용정보 전산시스템 보안대책을 갖추지 않은 점과 퇴직자의 개인신용정보 접근 권한을 제때 회수하지 않은 점을 지적했다. 이 일로 과태료 5억2400만원이 부과됐고 직원 18명이 제재를 받았다. 그런데 이듬해 OK저축은행의 정보보호 예산은 81억4000만원에서 56억6300만원으로 30.4% 줄었다. OK저축은행의 올해 상반기 순이익은 2291억원으로 저축은행 업계 1위다. 업계 전체 순이익의 약 30%에 해당한다.

◇ 은행 보안인력 100명, 저축은행은 6명

허술한 보안은 OK저축은행만의 문제가 아니다. 지난달 말부터 저축은행 4곳이 차례로 뚫렸다. 예가람저축은행에서는 주민등록번호와 계좌번호 등 약 5만건이, 웰컴저축은행에서는 법인 인터넷뱅킹 정보 2370건이, DB저축은행에서는 직원 100여명의 정보가 새어 나갔다.

저축은행이 해킹에 약한 이유는 시중은행에 비해 보안 인력과 예산이 모두 턱없이 적기 때문이다. 김재섭 국민의힘 의원은 19일 국정감사에서 저축은행의 정보보호 인력이 평균 6.3명이라고 지적했다. 시중은행 평균은 100여명이다. 이런 가운데 자산 상위 10개 저축은행 가운데 6곳이 지난해 정보보호 예산을 깎았다. 저축은행 업계의 올해 상반기 순이익은 7658억원으로 1년 전보다 5088억원 증가했다.

기본 관리도 허술했다. 예가람저축은행은 보안 지원이 끝난 2016년판 오픈소스 DB를 그대로 쓰고 있었다. 당국이 1년 전 알린 취약점도 고치지 않았다. 금융권 긴급 자체 점검에서는 555곳 가운데 130곳이 미흡 사항을 보고했고, 이 중 저축은행이 11곳이었다. 고객이 보안 상태를 확인할 길도 없다. OK저축은행은 올해 정보보호 공시를 하지 않았고, 저축은행 79곳 가운데 웰컴·신한저축은행 2곳만 공시했다.

◇ 책무구조도 적용 가능성…연임 앞둔 정길호 '시험대'

이찬진 금감원장은 19일 국감에서 이번 연쇄 해킹 사건에 대해 "최초로 CEO의 책임 문제가 다뤄지는 사안이 될 것"이라고 말했다. 저축은행 업계는 올해 7월부터 책무구조도를 시행하고 있다. 책무구조도는 임원별로 내부통제 책임을 미리 나눠 정해두는 제도다. 대표이사는 내부통제 체계가 실제로 작동하는지 점검하고 관리할 의무를 진다. 사고 대응을 실무 임직원이 맡았더라도, 그 체계가 제대로 돌아가지 않았다면 대표의 관리 책임이 문제가 될 수 있다.

최윤 OK금융그룹 회장은 재일동포 3세 출신으로 '러시앤캐시' 등을 앞세워 대부업으로 큰 성공을 거뒀다. 2014년에는 예주·예나래저축은행을 인수해 OK저축은행을 출범시켰다. 저축은행을 인수하면서 금융당국에 대부업에서 철수하겠다고 약속했고, 2024년 말 대부업 계열사를 모두 청산했다. 다만 철수 과정에서 그룹 계열사 2곳이 2024년까지 대부업을 이어간 사실이 드러나, OK저축은행은 지난해 7월 금감원으로부터 기관경고와 과태료 3억7200만원을 받았다.

정길호 대표는 서울대 경제학과를 졸업하고 OK저축은행 소비자금융본부장 등을 거쳐 2016년 대표로 취임해 6연임하며 11년째 대표직을 유지 중이다. 2024년 보안 제재를 받은 것도, 이듬해 보안 예산을 30% 줄인 것도 모두 정 대표 재임 기간에 일어났다. 정 대표의 임기는 내년 1월 31일 끝난다. 금감원은 16일부터 OK저축은행 현장점검을 하고 있고 결과에 따라 정식검사로 전환하는 방안도 검토 중이다. 업계 관계자는 “금감원 현장점검 결과가 정 대표 임기 만료 후 거취에도 영향을 줄 수밖에 없다”고 말했다./sh0293@chosun.com