'해킹 무장해제' 금융권 손배소 물꼬…AI 시대 보안의무가 좌우

[2026-10-13 00:00:00]

AI 악용한 해킹 현실화 우려
1인당 10만∼30만 청구 검토
금융회사 책임 단정은 일러

금융권 해킹에 따른 개인정보 유출 사고가 잇따르면서 피해자들의 손해배상 소송 움직임도 시작됐다. /박상민 기자

[더팩트ㅣ선은양 기자] 금융권 해킹에 따른 개인정보 유출 사고가 잇따르면서 피해자들의 손해배상 소송 움직임도 시작됐다. 이번 소송에서는 위자료 액수뿐 아니라, 인공지능(AI)을 악용한 사이버 공격 위험이 커진 상황에서 금융회사에 요구되는 보안 의무 수준이 핵심 쟁점이 될 전망이다.

13일 법조계에 따르면 법무법인 세담은 지난 7일부터 신한은행 개인정보 유출 피해자들을 대상으로 손해배상 소송 원고 모집에 나섰다. 참여 대상은 신한은행의 통지 등을 통해 개인정보 유출 사실을 확인할 수 있는 고객이다. 1인당 청구액은 10만∼30만원 수준으로 검토하고 있다.

신한은행에서는 지난 1일 대규모 해킹으로 약 2만5000명의 고객 정보가 유출됐다. 유출 정보에는 고객명과 전화번호, 연계정보(CI), 연소득, 대출 한도 등 대출 신청 관련 개인정보가 포함됐다. 일부 고객의 주민등록번호 66건과 CI 97건도 유출된 것으로 파악됐다.

개인정보보호법은 개인정보처리자에게 접근통제, 접속기록 보관, 침입 탐지 등 안전조치 의무를 지운다. 개인정보 유출로 손해를 입은 이용자는 손해배상을 청구할 수 있고, 법정손해배상 제도를 이용하면 300만원 이하 범위에서 배상을 청구할 수도 있다.

다만 유출 사고가 발생했다고 해서 금융회사의 과실이 곧바로 인정되는 것은 아니다. 법원은 해킹 수법과 당시 기술 수준, 기업이 취한 보안조치, 사고 발생 뒤의 대응 등을 종합해 개인정보 보호 의무 위반 여부를 판단한다. 기업이 당시 요구되는 보호조치를 다했다고 판단되면 책임을 묻지 않을 수 있다.

이억원 금융위원장이 지난 4일 오후 서울 종로구 정부서울청사에서 열린 '침해위협 대응 전금융권 긴급 점검회의'에 참석하고 있다. 앞줄 왼쪽부터 이호성 하나은행장, 이환주 KB국민은행장, 정상혁 신한은행장./남윤호 기자

이번 사고에서는 AI를 활용한 공격의 위험성이 새 변수다. 최근 생성형 AI와 자동화 도구의 발달로 고도화된 해킹 수법이 더 낮은 비용과 짧은 시간 안에 악용될 수 있다는 우려가 커진 만큼, 법원이 금융회사에 요구되는 보안조치 수준을 어떻게 볼지 주목된다.

이은우 법무법인 지향 변호사는 "AI를 활용한 공격 위험이 현실화한 상황에서 금융회사가 어떤 보안조치를 취했는지, 조치가 당시 기술 수준에 비춰 충분했는지가 우선 쟁점이 될 것"이라며 "다만 사고 경위와 회사의 대응 수준이 구체적으로 밝혀지지 않은 상태에서 책임 여부를 단정하기는 어렵다"고 말했다.

신한은행 사건에서는 고객명과 전화번호 외에 CI, 연소득, 대출 한도 등이 함께 유출된 점도 위자료 판단에서 고려될 수 있다.

CI는 여러 온라인 서비스의 정보를 동일인 기준으로 연결하는 데 이용되는 본인확인용 식별정보다. 개인정보 유출 소송에서 법원은 유출된 정보의 종류와 식별 가능성, 제3자의 열람·이용 여부, 추가 피해 위험 등을 살핀다.

다만 금융정보와 CI가 포함됐다는 이유만으로 위자료가 높게 인정된다고 단정하기는 어렵다. 실제 유출 정보가 외부에 유통됐는지, 다른 정보와 결합해 금융사기 등에 이용될 가능성이 어느 정도인지, 사고 뒤 금융회사가 피해 확산 방지 조치를 적절히 했는지 등이 함께 판단 대상이 된다.

이 변호사는 "AI를 이용한 정보 유출이 늘면 유출 정보를 악용한 보이스피싱이나 명의도용 같은 2차 피해도 커질 수 있다"며 "사고 예방과 소비자 보호를 위해 금융회사가 피해 방지 책임을 더 분담하도록 하는 제도 논의가 필요하다"고 말했다.