[기획] 수조원대 ‘이익잔치’ 벌이더니… 보안엔 1%도 안 쓰는 은행

4대은행 정보보호 투자액 1538억

영업익 18조5813억원의 0.83%

5대 은행·3대 인뱅 예산 집행률

2023년 74.5% → 지난해 69.0%

허술한 보안·방어태세 점검해야

제미나이가 그린 일러스트.

잇따라 정보유출이 일어난 주요 은행들이 지난해 정보보호에 투자한 금액이 영업이익의 1%에도 못 미친 것으로 나타났다. 해마다 수조원대 이익을 내고 디지털 금융을 확대하면서도 고객 자산과 정보를 지키는 보안에 충분히 투자했는지 의문이 제기된다.

6일 한국인터넷진흥원(KISA) 정보보호 공시 현황과 각 은행의 지난해 별도 재무제표에 따르면, 올해 공시된 4대 은행의 지난해 정보보호 투자액은 총 1538억원으로 같은 해 영업이익 합계(18조5813억원)의 0.83%에 불과했다. 투자 규모는 국민은행 433억원(0.76%), 하나은행 372억원(0.76%), 신한은행 369억원(0.82%) 순이고 액수가 가장 적은 우리은행(364억원·1.06%)만 1%를 넘겼다.

문제는 이익이 늘어도 보안 투자는 제자리였다는 점이다. 국민은행은 2022년 542억원에서 2023년 421억원으로 22.4% 줄어든 뒤 2024년 1.0%, 지난해 1.9% 느는 데 그쳤다. 영업이익은 2024년 18.6%, 지난해 8.5% 늘었다. 신한은행은 2024년 투자를 28.7%(288억→370억원) 늘렸지만, 영업이익이 8.6% 늘어난 지난해엔 0.4% 줄였다.

우리은행은 2023년 3.7%, 2024년 3.8% 늘렸다가 지난해 18.1%(444억→364억원) 줄였다. 반면, 지난해 2년 연속 공시 기업 730여 곳은 투자를 16.6% 늘렸다.

정보보호 투자 규모 상위 10개사와 비교해도 1%는 낮은 수치다. 이 중에 적자를 기록한 LG전자를 제외하고 이보다 낮은 곳은 영업이익 규모 자체가 44조원까지 뛴 SK하이닉스(0.16%)뿐이다. 삼성전자는 지난해 4121억원, 현대차는 446억원을 투자해 영업이익 대비 비율이 각각 1.75%, 1.27%였다. SK텔레콤 13.7%, KT 9.8%, 쿠팡 8.2%, 네이버 3.4% 등 정보기술(IT) 중심 기업은 물론, 아모레퍼시픽 4.40%, 이마트 2.92%와도 차이를 보였다. 같은 은행업인 카카오뱅크도 4.02%다.

예산과 실제 집행 사이의 간극도 컸다. 금융감독원이 이양수 국민의힘 의원에게 제출한 자료에 따르면 5대 시중은행과 인터넷은행 3곳의 지난해 정보보호 예산은 3978억원, 집행액은 2744억원이었다.

집행률은 2023년 74.5%에서 지난해 69.0%로 떨어졌다. 우리은행 53.8%, 국민은행 58.1%, 농협은행 63.9%, 신한은행 69.9%였고 하나은행만 100%였다. 이는 KISA 공시 투자액과 별도로 집계된 수치이며, 은행권은 사고에 대비해 여유 예산을 편성하는 사정도 있다고 설명한다.

4대 은행의 총 영업수익(153조7193억원) 대비로는 정보보호 투자 규모가 0.1% 수준이다. 다만, 영업수익엔 외환·파생상품 수익이 포함돼 일반 기업의 매출과 단순 비교하긴 어렵다. 올해 시작한 하나은행을 포함해 그나마 네 은행은 정보보호 현황을 자율 공시했지만, 사고가 난 부산은행·예가람저축은행·현대캐피탈은 이런 비교도 어렵다. 정부는 금융사들을 정보보호 공시 의무 대상에 포함하는 방안을 추진 중이다.

제조업 등 다른 분야의 주요 기업 중엔 이들보다 투자 비율이 낮은 곳도 아직 있다. 하지만 은행 업무는 갈수록 전산망에 의존한다. 한국은행에 따르면 올 상반기 인터넷뱅킹(모바일 포함) 이용액은 하루 평균 106조4000억원, 2923만건에 달했다. 금융과 IT는 떼려야 뗄 수 없는 관계다. 때문에 정보보안의 중요성은 더욱 커졌다.

이번 정보유출 사태의 원인으로 AI를 동원한 공격 가능성도 거론되지만, 그보다는 허술한 보안 태세에 대한 지적이 이어지는 이유다.

뚫린 곳은 신한은행 대출모집인용 조회 서비스, 국민은행 직원용 모바일 업무지원 시스템, 하나은행 영업지원시스템 등 관리가 소홀했던 지원시스템이었다. 보안 투자 확대와 함께 방어 태세 전반을 다시 점검해야 한다는 목소리가 높아진다.

이억원 금융위원장은 지난 4일 전 금융권 긴급 점검회의에서 “디지털 금융이 발전하고 금융서비스 간 연결이 확대될수록 보안의 중요성은 더욱 커질 수밖에 없다”며 “보안은 비용이 아니라 투자”라고 강조했다. 그는 “금융회사와 시스템의 근간인 ‘신뢰’를 지키기 위한 기본 투자라는 근본적인 인식 전환이 필요하다”고도 했다.

염흥열 순천향대 정보보호학과 명예교수는 “뚫리지 않은 곳은 이중인증 등 조치를 했는데, 뚫린 곳은 인증이 굉장히 취약했다”며 “금융사의 지원망도 이젠 핵심망에 버금가는 보안 관리 체계의 운영과 유지가 필요하다. 정보시스템 전반에 걸쳐 차별 없이 높은 수준의 보안 대책을 마련해 개선에 나설 필요가 있다”고 짚었다.

팽동현 기자 dhp@dt.co.kr