[이데일리 임유경 기자]국내 금융권 연쇄 해킹 용의자로 지목된 인물이 금전적 이득을 목적으로 활동해온 것이 확인되면서, 정보유출 피해자를 겨냥한 보이스피싱·스미싱 등 2차 피해에 대한 우려가 커지고 있다. 전문가들은 해커가 탈취 정보 판매에 나서는 것은 시간문제이며, 유통을 막을 방법도 사실상 전무하다고 경고하고 있다. 이에 피해자 구제에 초점을 맞춰 ‘보이스피싱 무과실 배상책임제’ 도입에 속도를 내야 한다는 목소리가 커지고 있다.

12일 국내외 사이버보안업체들의 추적 결과를 종합하면, 이번 해킹 용의자는 중국계 해킹조직 ‘갓넷(GodNet)·비타스(VITAS)’의 일원으로 활동한 것으로 추정된다. 이 조직은 돈을 받고 디도스(DDoS·분산서비스거부) 공격을 대행하고, 가상자산으로 대금을 받은 후 추적을 피해 다수의 지갑으로 자금을 이동시키는 등 금전적 이득에 초점을 맞춘 전형적인 사이버범죄조직의 양상을 보였다. 다만, 이번 해킹이 용의자 단독 범행인지 조직이 함께 움직인 것인지는 아직 확인되지 않았다.

전문가들은 해커가 곧 유출 정보 판매에 나설 것으로 예상하고 있다. 실제 이번 해킹 용의자가 인공지능(AI)을 활용해 국내 금융권에서 정보를 빼가면서, AI에 ‘한국인 유출정보를 통상 어디에 판매해야 하는지’ 질문한 흔적도 발견됐다.

해킹조직 분석 보고서를 낸 로그프레소의 구동언 사업본부장은 “일반적으로 다크웹이나 텔레그램에 ‘한국 금융 데이터’ 같은 제목의 판매글을 올리고 구매자가 나타나면 가상자산으로 대금을 받고 정보를 넘긴다”며 “이런 거래가 이뤄지는지 지속적으로 모니터링할 필요가 있다”고 설명했다.

더 큰 문제는 유출 정보가 유통되는 것을 원천 차단할 방법이 없다는 점이다. 보안업체 티오리의 곽경주 총괄은 “다크웹을 통해 올린 판매글은 차단할 방법이 사실상 없고 텔레그램도 운영사에 삭제를 요청할 순 있지만 조치하는 동안에 이미 판매가 완료될 가능성이 높다”고 지적했다.

이번에 유출된 정보엔 연소득, 대출한도 등 민감한 신용정보가 포함돼 있어 맞춤형 보이스피싱이나 대출 사기 범죄 가능성이 있다는 점에서 우려가 크다. 전문가들은 공통적으로 2차 범죄 발생을 기정사실화한 대응을 주문했다. 금융사는 정보유출 피해자들을 대상으로 보이스피싱 주의 안내를 확실히 하고, 해당 고객의 추가 대출이나 고액 인출 같은 거래가 발생하면 이상금융거래탐지시스템(FDS)에서 찾아낼 수 있도록 특별 모니터링이 이뤄져야 한다고 강조했다.

2차 피해가 발생했을 때 피해자를 신속히 구제할 제도 마련도 과제로 떠올랐다. 금융회사에 고의·과실이 없더라도 일정 요건을 충족한 보이스피싱 피해를 보상하도록 하는 ‘무과실 배상책임제’가 대표적이다. 현재 국회에는 강준현·조인철 더불어민주당 의원이 각각 발의한 통신사기피해환급법 개정안이 계류 중이다.

금융당국도 제도 설계를 검토하고 있다. 이억원 금융위원장은 지난 8일 국회 정무위원회 금융위원회 국정감사에서 보이스피싱 무과실 배상책임제와 관련해 “어떻게 설계할 수 있을지 계속해서 고민하도록 하겠다”고 밝혔다.

다만 금융권에서는 통신망과 금융계좌 등을 거쳐 발생하는 범죄의 배상 책임을 금융회사에만 지우는 것은 과도하다는 우려가 나온다. 금융회사가 피해자와 사기범 사이의 대화까지 파악하기 어려운 상황에서 피해자의 고의·중과실 등 면책 사유를 입증하는 데도 한계가 있다는 것이다.

최경진 한국정보법학회장(가천대 교수)은 “금융사기피해자보호를 위해 금융사에 최소한의 범위 내에서 일정한 무과실책임을 지우는 것은 필요하다”며 “이 제도를 오남용할 가능성을 막고, 금융사에 과도한 부담이 돌아가지 않도록 구제 대상을 금융서비스와 관련된 사기 행위로 명확히 한정하는 등 정교한 요건을 만들기 위한 논의가 이뤄져야 한다”고 제언했다.