보안예산 늘었지만 집행은 뒷걸음… 금융권 수탁관리 ‘경고등’
보안예산 늘었지만 집행은 뒷걸음… 금융권 수탁관리 ‘경고등’
금융권의 사이버 위협이 갈수록 커지는 가운데 은행권의 정보보호 예산은 지속적으로 확대되고 있지만 실제 집행률은 오히려 하락한 것으로 나타났다. 최근 발생한 우리은행 고객정보 유출 사고까지 겹치면서 금융권 보안 문제가 예산 규모보다 실제 집행력, 외부 수탁업체 관리, 개인정보 파기 검증 체계 등의 문제로 확산되고 있다.
이양수 국회의원이 금융감독원에서 제출받은 자료에 따르면 국민·농협·신한·우리·하나은행과 카카오뱅크·케이뱅크·토스뱅크의 2025년 정보보호 예산 편성액은 3978억원으로 집계됐으며, 이는 2023년 3282억원보다 21.2% 증가한 규모다.
같은 기간 집행액은 2446억원에서 2744억원으로 12.2% 늘었다. 그러나 예산 집행률은 2023년 74.5%에서 2024년 70.8%, 2025년 69.0%로 낮아졌다. 정보보호 예산은 늘었지만 실제 집행 비율은 오히려 떨어진 셈이다.
이 같은 흐름은 최근 발생한 우리은행 고객정보 유출 사고와 맞물려 금융권 보안관리의 실효성 문제를 다시 부각시키고 있다. 해당 사고는 우리은행 NFT 플랫폼 이용자의 닉네임과 연계정보(CI) 1만7551건이 외부 개발업체를 통해 유출된 사건이다. 우리은행은 회원 ID, 로그인 계정, 비밀번호, 금융거래 정보 등은 유출되지 않았고 현재까지 악용 사례도 확인되지 않았다고 설명했다.
문제는 유출 정보의 종류보다 유출 경위다. 해당 정보는 NFT 플랫폼 구축 과정에서 외부 개발업체에 제공된 것으로 알려졌다. 프로젝트 종료 이후에도 해당업체에 정보가 남아 있었고, 이후 업체 직원이 이를 개발자 플랫폼에 공유하면서 외부 유출이 발생한 것으로 파악됐다.
특히 이번 사고는 파기확인서 중심의 사후관리가 충분한지에 대한 문제를 제기한다. 금융회사가 외부업체로부터 개인정보 삭제 확인을 받았더라도 실제 저장매체, 개발환경, 협업 플랫폼, 소스 저장소 등에 정보가 남아 있다면 고객정보 보호 체계는 형식적으로만 작동한 것이 된다. 확인서 제출과 실제 파기 검증은 구분돼야 한다.
금융권의 디지털 전환이 빨라질수록 이 같은 위험은 커질 수 있다. 은행, 카드, 보험, 증권사는 모바일 앱, 마이데이터, AI 상담, 블록체인 기반 서비스, 클라우드 시스템 등 다양한 디지털 사업을 확대하고 있다.
이 과정에서 외부 개발업체와 보안업체, 플랫폼 사업자와의 협업도 늘고 있다. 고객정보가 여러 시스템과 업체를 거쳐 처리되는 구조에서는 정보의 생성, 활용, 보관, 삭제 전 과정을 관리하는 데이터 생애주기 통제가 중요하다.
최근에는 고성능 인공지능(AI) 확산으로 금융권 사이버 위협도 더 정교해지고 있다. AI를 활용한 취약점 탐색, 피싱 자동화, 악성코드 변형 가능성이 커지면서 금융회사의 보안 체계도 기존 방식만으로는 한계가 있다는 지적이 나온다. 고객정보와 금융거래 데이터를 동시에 보유한 금융회사는 AI 기반 사이버 공격의 주요 표적이 될 수 있다.
전문가들은 금융권 보안의 핵심은 예산을 얼마나 편성했는지가 아니라 실제 위험을 줄이는 데 얼마나 집행됐는지에 있다고 입을 모은다. 특히 외부 위탁업무에서는 개인정보 제공 범위 최소화, 실데이터 사용 통제, 접근권한 관리, 저장매체 점검, 삭제 로그 확인, 재수탁 관리, 사고 발생 시 추적 체계가 함께 작동돼야 한다는 설명이다.
금융업계 관계자는 “수탁업체의 실수를 수탁업체만의 문제로 치부해서는 실질적인 개선으로 이어지기 어렵다”며 “금융회사는 수탁업체의 개인정보 관리가 제대로 이뤄지는지 책임 있게 확인해야 한다”고 말했다.
