은행 AI해킹 피해보상, 쿠팡보다 최대 몇배 가능? [사건X파일]

■ 방송 : FM 94.5 (05:45~06:00, 13:40~13:55, 18:40~18:55)
■ 방송일 : 2026년 10월 12일 (월)

■ 진행 : 이원화 변호사
■ 대담 : 박은석 변호사

* 아래 텍스트는 실제 방송 내용과 차이가 있을 수 있으니 보다 정확한 내용은 방송으로 확인하시기를 바랍니다.

◆ 이원화 변호사 (이하 이원화) : 해킹으로 인정보가 털렸다는 소식, 이젠 낯설지도 않습니다. 또 터졌구나 싶을 정도죠. 그런데 이번엔 그냥 “또 터졌네” 하고 넘길 수준이 아닙니다. 우리가 돈과 개인정보를 함께 맡기는 금융권에서 이 사고가 터졌기 때문이죠. 시작은 한 시중은행이었습니다. 약 2만5천명의 이름과 전화번호, 연소득, 대출한도 등 고객정보가 유출됐다 알려졌죠. 그런데 이게 끝이 아니었습니다. 문제는 여기서부터였죠. 실제 여러 금융회사에서 같은 공격자와 연관된 것으로 보이는 흔적이 발견됐고, 금융당국이 전 금융권에 공유한 공격 IP는 28개까지 늘었습니다. 이젠 고객정보 유출을 넘어, 보이스피싱과 대출 사기 같은 2차 피해까지 우려되는 상황인데요. 만약 내 개인정보가 유출됐다면 금융회사는 어디까지 책임져야 할까요? 또 실제 피해가 생겼다면 우리는 어떻게 보상받을 수 있을까요? 오늘 사건엑스파일에서 이 문제, 자세히 짚어보겠습니다. 안녕하세요. 사건엑스파일, 이원홥니다. 로엘 법무법인, 박은석 변호사와 함께 합니다. 변호사님, 어서오세요.  
 
◇ 박은석 변호사 (이하 박은석) : 안녕하세요. 박은석 변호사입니다.  
 
◆ 이원화 : 처음에는 신한은행에서 2만5천명 정도의 고객정보가 유출된 것으로 알려졌는데 이후 국민은행, 하나은행, 부산은행, 저축은행, 캐피탈까지 이름이 줄줄이 나오고 있거든요. 일단 지금까지 확인된 피해, 어디까지 번진 겁니까? 
 
◇ 박은석 : 네. 최초에는 신한은행에서 약 2만 5천 명의 고객정보가 유출됐다는 소식이 전해졌는데요. 해당 정보에는 이름, 전화번호, 연소득, 대출한도 같은 정보들이 포함됐습니다. 그런데 이후 국민은행 등 다른 시중은행 뿐만 아니라 저축은행, 캐피탈 등 금융기관의 종류를 가리지 않고 유사한 피해를 입었다는 보도가 나오기 시작했습니다. 이후 금융당국이 파악한 바에 따르면 전 금융권에 공유한 공격 IP가 28개까지 늘었다고 합니다. 같은 공격자와 연관된 것으로 보이는 흔적이 여러 금융회사에서 동시에 발견됐다는 점에서 이건 단순한 개별 해킹 사고가 아니라 금융권 전체를 겨냥한 조직적인 공격으로 봐야 한다는 의견도 있습니다.  
 
◆ 이원화 : 그러니까 같은 공격을 받았음에도 실제로 정보가 빠져나간 곳이 있고 막아낸 곳도 있다는 건데 그러면 나중에 책임을 따질 때 “다른 금융사는 같은 공격을 막았다”는 사실도 중요한 판단 기준이 될 수 있습니까? 
 
◇ 박은석 : 네. 금융회사는 관련 법령에 따라 안전성 확보에 필요한 기술적·관리적 조치를 취할 의무가 있습니다. 그런데 대법원은 "서비스 제공자가 관련 법령에서 정하고 있는 기술적·관리적 보호조치를 다하였다면, 특별한 사정이 없는 한 개인정보의 안전성 확보에 필요한 보호조치를 취하여야 할 의무를 위반하였다고 보기는 어렵다"고 판시한 바 있거든요. 그러니까 반대로 말하면, 같은 공격을 다른 금융사들은 막아냈는데 특정 금융사만 뚫렸다면, 그 금융사가 법령에서 요구하는 최소한의 보안 기준조차 지키지 않았다는 정황적인 증거가 될 수 있습니다. "해킹 기술이 너무 높아 어쩔 수 없이 당했다"는 항변이 통하기 어려워지는 거죠.  
 
◆ 이원화 : 사실 은행이 해킹당했다는 말을 들으면 제일 먼저 드는 생각이 이거잖아요. “내 통장 돈은 어떻게 되는거지?” 금융당국에 의하면, 현재까지 직접 자금이 빠져나간 피해는 없고, 비밀번호나 OTP 정보도 유출되지 않았다는 건데요. 그럼 여기서 궁금한 게 실제 돈을 잃은 건 없어도 내 개인정보가 유출됐다는 것 자체가 법적으로 손해가 될 수 있습니까? 그러니까 “내 개인정보 털렸으니 배상하라” 할 수 있냐 이 말이죠.
 
◇ 박은석 : 네, 법령상 개인정보가 유출됐다는 사실 자체만으로 손해배상을 청구할 수 있습니다. 개인정보 보호법에는 '법정손해배상' 제도가 있는데요. 개인정보가 유출됐다는 사실만 증명하면, 개인이 구체적인 손해액을 일일이 입증하지 않아도 300만 원 이하의 범위에서 배상을 청구할 수 있습니다. 대법원도 개인정보 유출로 인한 정신적 손해 발생 여부를 판단할 때, 유출된 정보의 종류와 성격, 제3자가 열람했는지 또는 열람 가능성이 있는지, 정보가 어느 범위까지 확산됐는지, 추가적인 법익 침해 가능성이 있는지 등을 종합적으로 고려해야 한다고 판시하고 있습니다. 실제로 과거 카드사 개인정보 유출 사건에서 법원은 피해자 1인당 10만 원의 위자료를 인정한 사례도 있습니다.  
 
◆ 이원화 : 그런데 쿠팡이나 일반 쇼핑몰에서 개인정보가 털린 것과 은행에서 털린 걸 똑같이 볼 수 있을까요? 은행은 돈에 내 소득, 대출한도 같은 신용 정보들까지 다 들어있는 건데 이게 똑같이 볼 수 있습니까?
         
◇ 박은석 : 네. 아무래도 은행에서 유출된 정보는 훨씬 더 무겁게 봐야 할 것으로 보이는데요. 아무래도 금융 정보는 개인의 경제적 상황을 그대로 드러내는 민감한 정보이고, 이를 이용한 2차 범죄, 즉 맞춤형 보이스피싱이나 대출 사기의 가능성이 훨씬 높기 때문인데요. 법적으로도 은행은 개인정보보호법뿐만 아니라 전자금융거래법, 신용정보법까지 중첩적으로 적용을 받습니다. 특히 신용정보법에서는 고의나 중대한 과실이 있는 경우에는 손해의 5배까지 배상할 수 있는 징벌적 손해배상 규정도 있습니다. 그러니까 은행에서 유출된 정보는 유출된 정보의 민감성 자체가 높고, 적용되는 법적 의무도 더 엄격하기 때문에, 일반 쇼핑몰 유출 사고보다 금융회사의 책임이 더 무겁게 인정될 가능성이 높습니다. 
 
◆ 이원화 : 신한은행에서는 고객에게 이 손해가 생기면 전액 보상하겠다 밝혔던데요. 그런데 이 전액 보상이라는 말이야 막상 따져보면 쉽지도 않을 것 같은 게 예를 들어서 나중에 보이스피싱을 당했을 때 유출로 인해 생긴 피해다 이런 걸 입증하기가 어려울 것 같거든요. 그리고 이걸 결국에는 불법행위 손해배상 청구 소송을 하는 피해자가 입증을 해야 되는 구조일 것 같은데 어떻습니까?
 
◇ 박은석 : 원칙적으로는 손해가 발생한 이유와 구체적인 손해의 내용을 피해자가 입증해야 합니다. 그러니까 이번 유출로 내 정보가 빠져나갔고 그 정보가 보이스피싱에 사용되었으며 그로 인해 내가 피해를 입었다라는 연결고리를 피해자가 직접 입증해야 하는 것이죠. 그런데 현실적으로 이게 굉장히 어렵습니다. 보이스피싱 범인이 어디서 내 정보를 얻었는지 추적하기가 쉽지 않고 내 정보가 여러 경로로 유출되었을 가능성도 있기 때문입니다. 다만 이번처럼 금융 당국이 공식적으로 유출 사실을 확인하고 유출된 정보의 종류가 특정되어 있는 경우라면 그 정보가 악용되었다는 정황 증거를 모아서 인과관계를 입증하는 것이 상대적으로 수월해질 수 있습니다. 
 
◆ 이원화 : 피해자 입장에서는 황당할 수도 있을 것 같은데요. 잘못한 건 금융회사인데 내가 그걸 왜 증명을 해야 되냐 그리고 유출된 정보라는 게 그날 당장 활용되는 게 아닐 수도 있고요. 몇 달 뒤, 길게는 몇 년 지나서 쓰일 수도 있는 거잖아요. 손해배상을 요구할 수 있는 기간 같은 게 혹시 정해져 있습니까? 이런 경우에도 시효라는 게 있을지 궁금할 것 같거든요.
  
◇ 박은석 : 불법 행위로 인한 손해배상 청구권은 피해자가 손해와 가해자를 안 날로부터 3년 또는 불법 행위를 한 날로부터 10년 안에 행사해야 합니다. 여기서 손해를 안 날이라는 의미가 중요한데요. 법원은 단순히 유출 사실이 언론에 보도되었다고 해서 그날부터 시효가 시작된다고 보지는 않습니다. 피해자가 손해의 발생, 위법한 가해 행위의 존재 그리고 가해 행위와 손해 사이의 인과관계를 현실적이고 구체적으로 인식한 때부터 시효가 진행된다는 입장입니다. 그러니까 유출 사실을 알았다라고 하더라도 그로 인한 실제 피해가 몇 년 뒤에 발생했다면 그 피해를 구체적으로 인식한 시점부터 3년에 시효가 새로 시작된다고 판단할 수 있습니다.
  
◆ 이원화 : 앞서 피해자 입장에서 봤다면, 이제 금융회사 책임을 좀 따져보죠. 이 사건에선 이게 법적으로 가장 큰 문제가 되겠다 싶은 지점 뭐가 가장 눈에 띄던가요? 
 
◇ 박은석 : 우선적으로 피해 규모와 파급력입니다. 단일 금융사의 사고가 아니라 여러 금융사가 동시에 공격을 받았고, 유출된 정보가 이름·전화번호에 그치지 않고 연소득·대출한도 같은 금융 민감 정보까지 포함됐습니다. 이 정보들은 맞춤형 보이스피싱에 그대로 활용될 수 있는 정보들이기 떄문에 피해자 수가 많고 2차 피해 가능성이 높다는 점에서, 향후 법률분쟁의 가능성이 매우 높습니다. 둘째는 금융회사들의 보안 의무 이행 여부입니다. 개인정보 보호법은 개인정보처리자에게 안전성 확보에 필요한 기술적·관리적 조치를 취할 의무를 부과하고 있고, 전자금융거래법도 금융회사에 안전성 확보 의무를 명시하고 있습니다. 만약 금융당국 점검에서 기본적인 보안 조치가 미흡했던 것으로 확인된다면, 이 의무 위반이 손해배상 책임의 핵심 근거가 됩니다.  
 
◆ 이원화 : 금융당국 점검에서 본인확인 절차가 빠져 있거나 외부 접속통제가 충분하지 않았다 이런 문제도 발견됐다고 하던데요. 이런 기본적인 보안조치가 미흡했던 사실이 확인된다면 법적으로 어느 정도까지 책임을 물을 수 있습니까? 과징금, 제재.. 이 정도 선인 건지 아니면 담당직원, 임원, 경영진까지 형사책임, 민사책임을 질 수 있는 건지 궁금하실 것 같거든요. 
 
◇ 박은석 : 민사 책임부터 살펴보면, 기본적인 보안 조치가 미흡했다는 사실이 확인된다면 금융회사는 손해배상 책임을 집니다. 개인정보 보호법은 개인정보처리자가 고의나 과실이 없음을 입증하지 못하면 책임을 면할 수 없다고 규정하고 있어서, 입증 책임이 금융회사 쪽에 있습니다. 또 고의나 중대한 과실이 인정되면 손해액의 5배까지 징벌적 손해배상도 가능합니다. 여기에 금융위원회나 금융감독원이 과징금, 과태료, 기관 경고, 임원 제재 등을 행정조치도 생각해 볼 수 있구요. 또한 개인정보 보호법은 안전조치 의무를 위반한 경우 형사처벌 규정도 두고 있기 때문에, 의무 위반이 명백하고 그 정도가 심각하다면 담당자에 대한 형사 책임도 배제할 수 없습니다. 
 
◆ 이원화 : 그런데 이번 사고를 두고 AI해킹이란 말이 계속 나오잖아요. 금융회사가 AI를 이용한 고도화된 공격이라 막기 어려웠다, 이렇게 주장한다면 책임을 피할 여지도 생길 수 있나요? 
 

◇ 박은석 : 네. 대법원은 "정보통신서비스 제공자가 관련 법령에서 정하고 있는 기술적·관리적 보호조치를 다하였다면, 특별한 사정이 없는 한 개인정보의 안전성 확보에 필요한 보호조치를 취하여야 할 의무를 위반하였다고 보기는 어렵다"고 판시하고 있습니다. 이 법리를 뒤집어 보면, 금융회사가 법령에서 요구하는 최소한의 보안 기준을 다 지켰다면 책임을 면할 수 있다는 취지로 보입니다. 그러니까 금융회사 입장에서는 "AI 해킹이라 막기 어려웠다"는 주장과 함께, "우리는 법령에서 요구하는 모든 보안 조치를 다 이행했다"는 점을 함께 입증해야 합니다. 그런데 금융당국 점검 혹은 수사 과정에서 본인확인 절차가 빠져 있거나 외부 접속통제가 충분하지 않았다는 사실이 일부 드러난다면, 이 주장은 설득력을 잃게 됩니다. 또 한 가지 중요한 점은, 같은 공격을 일부 금융사들은 막아냈다는 사실입니다. 이것이 "방어 불가능한 공격이었다"는 주장을 정면으로 반박하는 증거가 될 수 있습니다. 결국 AI 해킹이라는 주장 만으로 책임을 완전히 면하는 방패가 되기는 어렵다고 보여집니다.  
 
◆ 이원화 : 사건엑스파일, 오늘 저희가 준비한 내용은 여기까지입니다. 여러분은 모두 변호받아, 마땅한 사람들입니다. 사건! 엑스파일! 여러분, 고맙습니다. 

YTN 김양원 (kimyw@ytnradio.kr)