[법률돋보기]㉑ AI 공격에 뚫린 금융사들…은행의 주의의무는 어디까지인가

“AI 해킹 위험 알려졌다면 보안 책임 기준도 달라져야”
고객정보 유출 배상 책임 쟁점

금융사를 겨냥한 해킹 수법이 고도화하면서 고객정보 유출에 따른 금융회사의 법적 책임도 새로운 쟁점으로 떠오르고 있다. 특히 인공지능(AI)을 활용한 공격 가능성이 제기되면서 사고 당시 금융회사가 합리적으로 기대되는 보안 조치를 다했는지가 책임을 가를 핵심 기준으로 주목받는다.

장지운 법무법인 대륜 변호사는 금융회사의 정보 유출 사고와 관련해 “해킹 피해가 발생했다는 사실만으로 금융회사의 배상 책임이 인정되는 것은 아니다”며 “사고 당시 기술 수준과 예견 가능한 위험을 고려해 필요한 보호조치를 충분히 했는지가 중요하다”고 말했다.

개인정보보호법과 신용정보법은 금융회사 등 정보처리자에게 개인정보와 신용정보를 안전하게 관리할 의무를 부과한다. 다만 법원이 해킹 사고 자체를 곧바로 기업의 과실로 판단하는 것은 아니다. 당시 기술 수준에서 합리적으로 기대할 수 있는 보안 조치를 이행했는지 등을 종합적으로 살핀다.

과거 대규모 개인정보 유출 사건에서도 법원은 관련 보호조치 준수 여부 등을 토대로 기업의 책임을 판단했다. 이 같은 기준은 금융회사에도 적용될 수 있지만 AI를 활용한 공격이 확산하면서 합리적으로 요구되는 보안 수준 역시 달라질 수 있다는 분석이 나온다.

AI 기반 공격은 짧은 시간에 다수의 접속을 시도하거나 취약점을 탐색하는 방식으로 이뤄질 수 있다. 관련 위협이 금융권에 알려진 상황이라면 금융회사가 이를 예측하기 어려웠다는 주장만으로 책임을 피하기는 쉽지 않을 수 있다.

특히 고객용 서비스뿐 아니라 모집인 조회 시스템이나 직원용 업무망, 외주 시스템 등 상대적으로 관리가 소홀해지기 쉬운 경로까지 점검해야 한다는 지적이다.

장 변호사는 “보안 관련 위험이 구체적으로 알려졌다면 금융회사도 이에 맞는 대응책을 마련했는지 살펴봐야 한다”며 “단순히 기존 보안 기준을 지켰다는 점만으로 충분한 주의의무를 다했다고 볼 수 있는지는 사고별로 따져봐야 한다”고 설명했다.

금융회사는 사고 발생 전부터 보안 체계를 점검하고 대응 과정을 입증할 수 있도록 준비해야 한다.

제휴사와 외주 시스템의 인증 체계를 확인하고, 반복 로그인 차단과 자동화 공격 탐지 기능을 강화하는 한편 접속 기록과 사고 인지·차단·신고 시점 등을 체계적으로 보존할 필요가 있다. 사고 이후 신속하게 대응하는 것도 중요하지만 사후 조치만으로 사고 이전의 보안 관리 책임까지 해소되는 것은 아니다.

피해 고객 역시 정보 유출 통지와 금융회사 안내문을 보관하고, 유출된 소득이나 대출 관련 정보를 악용한 맞춤형 금융사기에 주의해야 한다. 보상 합의 과정에서는 추가 손해배상 청구를 제한하는 조항이 있는지도 확인할 필요가 있다.

장지운 변호사는 “금융회사에 완벽한 보안을 요구할 수는 없지만 합리적으로 기대되는 보호조치의 범위는 기술과 위협 환경에 따라 달라질 수 있다”며 “사전 법률 검토와 컴플라이언스 체계를 통해 보안 수준과 사고 대응 절차를 점검해야 한다”고 조언했다.

[기사전문보기]
[법률돋보기]㉑ AI 공격에 뚫린 금융사들…은행의 주의의무는 어디까지인가 (바로가기)