금감원, 우리은행 정보 유출에 자체점검 요구…"위법 확인 땐 검사 전환"

금융감독원이 고객 개인정보 1만7000여건 유출 사고와 관련해 우리은행에 자체 점검과 재발방지대책 마련을 요구했다. 금융당국은 우리은행의 자체 점검 결과를 살핀 뒤 필요하면 현장 점검에 나서고, 위법 사항이 확인될 경우 검사로 전환할 방침이다.

3일 금융당국에 따르면 금융감독원은 우리은행에 고객 개인정보 유출 사고 경위 등에 대한 자체 점검을 요청했다.

금감원 관계자는 "은행에 자체 점검을 요청했고 재발방지대책과 점검 내용을 보고 전자금융거래법 관련 위반 사항이 있는지 살펴볼 것"이라며 "필요 시 현장 점검을 실시할 예정이고 현장 점검에서 위법 사항이 파악되면 검사로 전환할 것"이라고 말했다.

우리은행은 이날 고객 공지를 통해 "외부 개발업체가 임의로 보관하고 있던 개인정보 1만7551건이 해당 업체 직원 과실로 유출되는 일이 발생했다"고 밝혔다. 유출된 정보는 온라인에서 개인을 식별하기 위한 암호화 정보인 연계정보(CI)와 고객 닉네임이다.

해당 정보는 우리은행이 2024년 9월 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 수행하는 과정에서 외부 개발업체에 공유한 정보다. 프로젝트 종료 후에도 업체 직원이 정보를 임의로 보관하다가 개발자 플랫폼에 공유하면서 외부로 유출된 것으로 파악됐다.

금융당국은 최초 유출 사실을 금융보안원이 확인해 우리은행에 통보했고 우리은행이 지난달 30일 금감원에 보고한 것으로 보고 있다. 현재까지 유출 정보가 CI와 고객 닉네임에 그친 만큼 추가 피해나 악용 가능성은 크지 않다고 보는 분위기다.

다만 CI는 온라인상에서 주민번호 역할을 하는 정보로 웹포스팅 서비스 시 동일인을 식별하는 데 쓰인다. 닉네임만으로는 고객을 특정하기 어렵지만 티빙 등 다른 플랫폼에서 유출된 이름, 연락처, 생년월일 등과 결합될 경우 개인 식별 가능성이 커질 수 있다.

우리은행은 지난달 30일 유출 사실을 인지한 즉시 개발 업체를 통해 관련 정보 접근을 차단했으며 개인정보보호위원회에 신고하고 홈페이지에 관련 사실을 공지했다는 입장이다. 현재까지는 유출된 정보가 온·오프라인에서 확산되거나 악용된 사례는 발생하지 않은 것으로 파악된다는 설명이다 .

우리은행은 보이스피싱, 스미싱 등 피해를 막기 위해 해당 고객에게 출처가 불분명한 전화번호 수신과 문자메시지 내 URL 링크 클릭에 주의해 달라고 당부했다. 별도의 이상금융거래탐지시스템(FDS)을 적용해 추가 사고에 대비하고 있다고 설명했다.

우리은행은 "이번 일을 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점은 시정 조치하겠다"며 "금번 유출로 고객에게 피해가 발생할 경우 최대한 신속하게 확인하고 보상하겠다"고 밝혔다.

금감원 관계자는 "개인정보 위수탁 계약상 관리 주체가 우리은행인지 외부 개발업체인지에 따라 책임 범위가 달라질 수 있다"고 말했다.