우리은행이 이번에는 대규모 고객 정보를 유출했다. 무려 1만7551명의 암호화 정보, 고객 닉네임이 지난해 9월 최초로 유출됐는데, 우리은행은 9개월이나 지난달 30일 인지한 것으로 알려진다. 이 같은 사실은 개인정보보호위원회가 정식 조사에 착수한 뒤에야 외부에 알려졌다. 우리은행은 주민등록번호 등 직접적인 개인정보는 아니므로 유출된 정보만으로 특정 개인을 식별할 수 없다며, 이번 사태를 계기로 개발업체의 개인 정보 관리 현황을 전수 조사하겠다고 밝혔다.
유출 정보는 우리은행이 총력해서 키우고 있는 ‘우리WON뱅킹’ 내의 대체불가토큰(NFT) 관련 서비스 개발을 담당하는 IT 개발 위탁업체의 직원이 내려받아 보관한 것으로, 이 직원이 개발자 플랫폼에 이 개인정보를 공유했다. 우리은행은 유출 정보의 위험성을 애써 부정했지만, 위험은 정보 자체가 아니라 개인정보의 관리 절차에 있다. 이러한 위험을 예방하기 위해 <개인정보보호법> 시행령 28조는 ‘개인 정보의 처리 업무 위탁 시 조치’를 엄격하게 규율하고 있다. 즉 업무 위탁자인 우리은행이 고객 개인정보의 중요성을 인지하고 업무 수탁자 관리를 얼마나 철저히 했을지가 관건이다. 그러나 최근까지 우리은행의 행태는 이러한 신뢰를 갖기에 역부족이었다.
우리은행에서는 굵직한 금융사고가 있을 때마다 보고 지연, 은폐, 내부통제 중요성 인식 미흡 행태 등이 있었다. 먼저 2012년 6월부터 2020년 6월까지 8년에 걸쳐(2022년 적발) 본점 직원이 707억원을 횡령한 사건은 우리은행 내부통제 시스템 부실을 적나라하게 보여준다. 또한 전임 손태승 우리금융지주 회장이 연루되었고, 현임 임종룡 회장 재임 시절에도 지속된 부당 대출 사건이 2024년 적발됐다. 이 부당 대출은 금융지주 회장이라는 우리금융그룹의 제왕적 권력에 우리은행 상당 조직(임직원 27명이 1604억원 부당 대출에 가담)이 오랫동안 굴복한 사건이다. 또한 우리은행에서는 2년이 넘는 동안 파생상품 손실이 발생하고도 회계 조작과 은폐를 하다 2023년 노출돼서 962억원 확정 손실을 반영한 엽기적 사건도 있었다. 이뿐만 아니라 인도네시아 우리소다라 은행도 1억원이 넘는 무역 사기 사건을 당했다. 인도네시아 현지 수출입 대기업의 사기 일당이 신용장 조작 및 허위 지급 보증 서류로 보증 대금을 수령했는데, 우리소다라은행 심사역과 감사역의 안이하고 정밀하지 못한 업무 관행이 부른 참사로 평가된다.
이런 가운데 대규모 개인정보 유출 사태가 터지면서 우리은행이 과거에 보인 행태에 비추어 개인정보 보호에 만전을 기할 거라는 신뢰에 의구심을 갖는 것은 당연하다. 우리은행 공시에 따르면, 110여개 이상 업무에 대해 외부 위탁을 하고 있다. 이에 따라 고객 개인정보를 제공하는 외부 업체는 150여개로 추정된다. 여기에 해외송금 서비스와 관련해서도 미국(MoneyGram Payment System), 홍콩(CASHMALLOW HONGKONG), 중국(Unionpay International)에 개인 정보를 이전 중이라고 공시하고 있다. 즉, 우리은행은 막대한 고객 정보를 업무 편의상 외부에 제공하고 있으며 그 범위는 미국, 홍콩, 중국에까지 이른다.
다시 강조하지만, 개인정보 보호는 암호화 등 정보 처리의 문제도 중요하지만, 우리은행 조직 전체가 고객을 보호하겠다는 의지와 직무 윤리를 바탕으로 철저한 관리에 나서야 한다. 다시 고객 정보 유출이 일어난다면 우리은행은 그야말로 금융회사로서 자격을 재검토해야 할지도 모른다. 이를 명심하고 그동안의 실망스러운 행태를 반성하는 차원에서 고객정보 보호 전반을 점검해야 할 때이다.
