연합뉴스
445억 원이 순식간에 증발하고, 3천만 명 넘는 고객의 개인정보가 유출됐다. 국내 최대 가상자산거래소 업비트에서 해킹으로 대규모 코인이 빠져나간 데 이어, 이커머스(전자상거래) 1위 기업 쿠팡에서도 개인정보 유출 사고가 잇따랐다.
 
이들 기업은 막대한 고객의 자산과 데이터를 다루며 '사실상 금융'과 동일한 기능을 수행하지만, 정작 금융회사 수준의 보안·책임 규정에서는 자유롭다는 지적이 나온다.
 
금융회사를 감독·제재할 수 있는 금융감독원은 '쿠팡 사태'에선 사실상 손발이 묶여 있다. 이커머스 기업인 쿠팡이 금융사가 아닌 탓에 금감원의 직접 규제 대상이 아니기 때문이다. 쿠팡은 2020년 초 간편결제·포인트 발행 및 관리·송금 등 결제 기능을 자회사 쿠팡페이(PG)로 분리했다. 네이버·카카오 등 플랫폼 기업도 구조는 비슷하다.
 
금감원이 들여다볼 수 있는 영역은 전자금융업자로 분류된 쿠팡페이에 한정된다. 쿠팡이 '원 아이디(One-ID)' 정책을 운영해 쿠팡 자체 시스템의 정보보호 취약성이 제기되는 상황에서도 금융당국은 쿠팡 본체를 직접 제재할 근거가 없다. 금감원은 전자금융거래법에 따라 쿠팡페이의 결제 정보 유출 여부를 조사하고 있으며, 이상이 확인되면 즉시 검사로 전환한다는 방침이다. 다만 현재까지는 뚜렷한 문제점이 발견되지 않은 것으로 알려졌다.
 
문제는 쿠팡페이가 결제 기능을 수행하고 있음에도 은행이나 카드사에 적용되는 수준의 정보보호·자본건전성 규제는 받지 않는다는 점이다. 현행 전자금융거래법은 고객 정보를 고의로 누설한 경우 최대 6개월의 영업정지를 내릴 수 있도록 하고 있다. 그러나 고의성 입증이 어려운 해킹 사고에 대해서는 최대 1개월 영업정지만 가능하다.
 
이 때문에 잇따르는 해킹 사고를 둘러싸고 관리·감독의 사각지대가 발생한다는 지적이 나온다. 한 금융당국 관계자는 "빅테크 업체들이 가진 금융적인 성격을 규율할 수 있는 입법화 등 맞춤형 대책이 필요하다"고 강조했다. 혁신을 명분으로 보안 투자가 뒤로 밀리면서 플랫폼 기업의 책임 공백이 결국 이용자 피해로 이어지고 있다는 문제의식이다.
 
감독 공백은 가상자산사업자인 업비트에서도 반복된다. 업비트는 전자금융거래법 적용 대상이 아니어서 특정금융정보법에 따른 자금세탁 방지 의무만 감독받는다. 지난해 시행된 가상자산법 1단계 역시 이용자 보호 중심으로 구성돼 있고, 해킹 사고가 발생해도 보고 의무조차 부과되지 않는 상태다.
 
가상자산 2단계 입법 과정에서는 해킹 사고 발생 시 사업자의 배상 책임과 구체적 규제 등을 마련하는 방안이 논의되고 있지만, 관련 입법은 지지부진하다. 이찬진 금감원장도 최근 업비트 해킹 사태를 두고 "그냥 넘어갈 수 있는 부분이 아니다. 시스템 보안에 대한 문제가 가상자산의 생명"이라면서도 "가상자산이용자보호법상 제재의 한계가 있다"고 토로했다.
 
은행처럼 해킹 시 과실 여부와 상관없이 책임지는 '무과실 배상'을 가상자산 거래소에도 도입해야 한단 목소리도 나온다.
 
전문가들은 보안 투자를 소홀히 하는 기업들에 대한 규제 정비가 필요하다고 강조한다. 금융 전문 한 변호사는 "플랫폼 기업이나 가상자산업자는 금융사에 적용되는 수준의 엄격한 규제를 받지 않고 있다"며 "(해킹사고가 반복되는 만큼) 이들에 대한 보안·결제 시스템 규율 체계를 정비할 필요가 있다"고 짚었다.
 
이재명 대통령이 12일 세종시 정부세종컨벤션센터에서 열린 교육부·국가교육위원회·법제처 업무보고에서 발언하고 있다. 연합뉴스
한편, 이재명 대통령은 지난 12일 업무보고에서 쿠팡을 겨냥해 개인 정보 유출 사고가 발생할 경우 관련 처벌을 강화하라고 지시했다. 정부는 반복되고 중대한 법 위반 행위에 대해서는 최대 10%까지 과징금을 부과할 수 있는 징벌적 과징금 특례 도입을 추진한다.