은행 AI해킹 피해 '전액보상' 약속했지만 인과관계 입증이 난제

최근 금융권을 강타한 대규모 정보유출 사태에서 피해 은행들이 소비자 보상을 약속했지만, 유출된 정보와 2차 피해 사이의 인과관계를 누가 입증할 것인지를 둘러싼 책임 문제가 새로운 갈등 지점으로 떠오르고 있다. 신한은행, KB국민은행, 하나은행, BNK부산은행, 현대캐피탈, 예가람저축은행, 웰컴저축은행 등 7개 금융기관에서 대량의 고객정보가 유출된 것으로 확인되면서 업계는 보상 방안 마련에 나섰지만, 구체적인 책임 규정 없이 원칙적인 수준의 약속만 내놓은 상황이다.

금융권에 따르면 신한은행에서 2만5729명, 국민은행에서 119명, 하나은행에서 89명의 고객정보가 유출됐으며, 예가람저축은행의 경우 약 4만명 규모의 정보가 노출된 것으로 추산되고 있다. 이는 개인정보 유출 사고 중에서도 상당히 규모 있는 사건으로, 단순한 정보 노출을 넘어 보이스피싱, 대출사기, 신용카드 부정사용 등 2차 피해로 이어질 가능성이 높다는 점에서 소비자들의 우려가 커지고 있다. 은행들은 이미 고객들에게 정보유출 사실을 통지했으며, 피해 발생 시 전액 보상하겠다는 입장을 밝혔으나, 그 과정에서 법적 책임 문제가 복잡하게 얽혀있다.

현행 개인정보 보호법상 기업은 직접 고의나 과실이 없음을 입증해야 하는 책임을 진다. 그러나 소비자 피해자도 회사와 별개로 손해배상을 청구할 때 그 손해와 정보유출 사이의 인과관계를 설명해야 한다는 부담을 안게 된다. 즉, 유출된 정보가 실제로 범죄에 사용되었고, 그것이 자신의 피해와 직접적인 연관이 있다는 점을 입증해야 한다는 뜻이다. 이론적으로는 유출 통지 이후 받은 사기 전화나 문자, 거래 내역 등을 증거로 제출할 수 있지만, 해커가 탈취한 정보를 어떤 경로로 보이스피싱 조직에 넘겼는지, 또는 범죄자가 어느 은행의 정보를 사용했는지를 소비자가 직접 입증하기는 현실적으로 매우 어렵다.

문제는 금융기관들이 아직 이러한 인과관계 입증에 대한 책임 분담을 명확히 하지 않았다는 점이다. 해킹 피해를 입은 시중은행 관계자는 "현재로서는 정보 유출로 인한 고객 피해가 확인될 경우 전액 보상할 방침이라는 원론적인 입장만 유지하고 있다"며 "누가 인과관계를 입증할 것인지에 대해서는 아직 논의 중이며 금융감독 당국과 조율해 결정할 것"이라고 설명했다. 이는 사실상 책임 규정이 정해지지 않은 상태에서 보상 약속만 한 것으로 해석되며, 실제 피해자들이 보상을 받으려면 상당한 법적 분쟁을 거쳐야 할 가능성이 높다는 의미다. 또 다른 시중은행 관계자도 "이전 유사 사례들을 참고해 구체적인 보상 방안은 향후 논의 과정에서 정해질 것"이라고 모호한 입장을 유지했다.

과거 유사 사례를 보면 상황의 복잡성이 더욱 명확해진다. 지난해 개인정보 유출 사고를 겪었던 롯데카드의 경우 조좌진 당시 대표가 국정감사에 출석해 유출된 정보로 인한 2차 피해 인과관계에 대해 회사 측에서도 적극적으로 확인하겠다고 약속한 바 있다. 하지만 이러한 약속이 실제 피해자들에게 얼마나 신속하고 공정하게 집행되었는지에 대해서는 평가가 엇갈리고 있다. 현재 금융권 AI해킹 사태는 피해 규모가 훨씬 크고 복잡한 만큼, 은행들이 단순한 보상 약속을 넘어 인과관계 입증 책임을 명확히 하고 피해자 중심의 구체적인 보상 기준을 마련해야 한다는 목소리가 높아지고 있다. 금융감독 당국도 이 과정에서 소비자 보호를 최우선으로 하는 명확한 가이드라인을 제시할 필요가 있는 상황이다.