티시스에 전산 유지보수·민원상담 위탁...사과문엔 업체 역할·책임분담 빠져

국감서 내부거래·승계 연관성 지적...금감원장 "문제 있으면 공정위 통보"

고객 4만여명의 개인정보가 유출된 예가람저축은행의 전산 위탁 거래가 국정감사 도마에 올랐다. 전산 유지보수와 고객센터 업무를 맡은 태광그룹 계열사 티시스까지 논란의 중심에 섰다. 국회에서는 계열사 간 거래와 경영승계의 연관성을 살펴야 한다는 요구가 나왔다.

20일 예가람저축은행이 공개한 개인정보 유출 통지에 따르면 이번 사고로 정보가 유출된 고객은 4만3246명이다. 은행은 지난달 16일 해커가 개인정보를 담은 서버에 접근했으며, 같은 달 30일 유출 가능성을 인지했다고 밝혔다.

고심이 깊은 듯, 안경 고쳐쓰는 이찬진 금감원장 / 뉴스1

금융감독원은 사고 경위를 점검하고 있다. 이찬진 금감원장은 19일 국회 정무위원회 국정감사에서 예가람의 계열사 전산 위탁 문제에 대해 "문제가 있으면 공정위에 통보해 조치할 수 있도록 하겠다"고 말했다.

전산 관리도 민원상담도 티시스...국감선 '승계 문제'까지

예가람이 홈페이지에 공개한 수탁업체 현황에는 티시스의 업무가 구체적으로 나와 있다. 통합그룹웨어 서비스와 IT시스템 유지보수, 녹취·전화 유지보수 등을 맡고 있다. 고객센터 업무도 티시스에 위탁했다.

티시스 역시 자체 홈페이지에서 예가람 고객센터의 운영 업무를 소개하고 있다. 여신·수신 상담과 민원상담을 제공하며, 상담사 인사·성과 관리, 운영기획, 상담품질관리도 수행한다고 명시했다. 예가람의 전산 유지보수와 고객 상담 업무에 같은 그룹 업체가 들어가 있는 것이다.

두 회사는 주주도 겹친다. 대한화섬의 올해 1분기 보고서에 기재된 예가람 지분은 22.16%, 티시스 지분은 31.55%다. 대한화섬은 금융회사와 전산 수탁업체 양쪽의 주요 주주다.

국감에서는 이 같은 계열사 위탁 거래가 적절했는지를 따져야 한다는 지적이 나왔다. 박상혁 더불어민주당 의원은 예가람이 자본과 예금뿐 아니라 전산 업무도 그룹에 의존하고 있다고 지적했다. 전산 업무를 맡은 계열사와 그룹 3세 승계의 연관성을 거론하며 내부거래의 적정성과 보안 역량을 함께 점검해야 한다고 주장했다.

사진제공=예가람저축은행

박 의원은 저축은행을 보유한 기업집단이 10곳에 달한다며 다른 저축은행의 계열사 전산·보안 위탁 현황도 파악할 것을 요구했다. 이 원장은 관련 내용을 살펴보겠다고 답했다.

예가람의 개인정보처리방침에는 위탁계약 때 관련 법규 준수와 개인정보의 제3자 제공 금지, 책임부담 등을 명확히 규정한다고 적혀 있다. 계약 내용은 서면 또는 전자 형태로 보관한다고 밝혔다. 그러나 은행이 지난 16일 공개한 사과문에는 사고 시스템에서 수탁업체가 담당한 업무와 은행·업체 간 책임분담에 관한 내용이 없다.

사고 전 문서에 '보안 문제'...고객 안내도 뒤늦게 수정

사고에 앞서 예가람이 공개한 전산 개선사업 문서에도 보안 문제가 등장한다.

예가람은 지난 8월 11일 '예가람시스템 고도화' 사업 입찰을 공고하고 같은 달 24일 재공고했다. 당시 제안요청서에는 사업 도입 배경으로 "시스템 노후화에 따른 보안 및 안정성 문제"를 적었다. 동시 접속자와 거래량 증가에 따른 처리 성능 저하, 데이터 누적으로 길어진 조회·백업·복구 시간도 함께 제시했다.

사업 완료 전에는 취약점 진단과 조치를 실시해 결과를 제출하도록 했다. 은행 정보보호운영팀이 추가 조치를 요청하면 이에 응해야 한다는 조건도 뒀다.

다만 공개된 입찰자료만으로는 계약 체결과 사업 완료 여부, 실제 보완 결과까지 확인되지 않는다. 해당 사업 대상과 이번 침해 시스템의 관계도 공개 사과문에 설명돼 있지 않다.

사진제공=태광그룹

사고 후 고객 안내에서는 정부 신고 내용과 차이가 드러났다. 개인정보보호위원회가 김형연 조국혁신당 의원실에 제출한 자료에 따르면 예가람의 신고서에는 성명·전화번호뿐 아니라 계좌번호·주소·주민등록번호 등이 유출 항목으로 기재됐다. 당시 신고 규모는 5만24건이었다.

반면 초기 홈페이지 공지에는 성명·생년월일·연락처만 안내됐다. 이후 공지에 주민등록번호와 계좌번호, 거래내역, 직장명 등 유출 항목이 추가됐다. 이 원장은 국감에서 고객 안내가 늦어진 부분을 점검하고 있다고 밝혔다.

예가람은 16일 공지에서 유출 대상을 4만3246명으로 확정했다고 발표했다. 이 가운데 4만2926명은 성명·생년월일·연락처가 유출된 고객으로 분류했다. 전체 유출 항목에는 주민등록번호·계좌번호·거래내역·여권번호 등이 포함됐으며, 고객마다 유출 항목은 다르다고 밝혔다.

같은 공지에는 관련 서비스 중단과 외부 IP 차단, 보안 모니터링 강화 등의 조치가 담겼다. 고객에게는 의심스러운 전화·문자에 주의하고 명의도용 방지 서비스를 이용하라고 안내했다. 피해 접수 창구와 손해배상·분쟁조정 절차도 적었다.

문윤석 대표이사 명의의 이 사과문은 재발방지 대책을 완료했다고 밝혔다. 어떤 업무를 맡은 업체에 사고 책임을 확인하고 있는지, 은행과 수탁업체가 복구·배상 비용을 어떻게 분담할지는 적지 않았다.