최근 금융권을 덮친 인공지능(AI) 해킹 공격으로 16개 금융회사에서 약 10만건의 개인정보가 유출(침해)된 것으로 확인됐다. 금융당국은 최고경영자(CEO)와 정보보호최고책임자(CISO), 최고투자책임자(CIO) 등의 보고체계와 책임 범위를 명확히 하겠다고 밝혔지만, 세계일보 확인 결과 서울에 본사를 둔 저축은행의 60%가 CISO 정보를 공시하지 않았다. 현행법상 CISO를 공시하는 것이 의무가 아닌 데다 자산규모가 작은 곳은 일반직원에게 CISO를 맡기는 등 보안 분야에 소홀했던 경영 문화가 해킹 피해를 자초했다는 비판이 나온다.
SK하이닉스의 손자회사 솔리다임이 미국 나스닥 상장을 추진하는 가운데 SK하이닉스와 SK스퀘어가 중복상장 규정에 따른 모회사 의무를 각각 부담하게 되는 것으로 확인됐다. 두 회사가 해당 의무를 위반할 경우 한국거래소가 부과할 수 있는 상장계약 위약금은 각각 최대 10억원으로, 합산 20억원이다. 중복상장 논란 후 SK하이닉스 주가가 연일 하락하는 가운데 거래소 차원의 제재는 위약금과 1일 매매거래정지에 그쳐 실효성이 부족하다는 지적이 나온다.
‘재계의 저승사자’로 불리는 공정거래위원회 중점조사기획단이 출범 후 첫 사건으로 식품업체의 담합 사건 조사에 착수했다. 공정위는 국내 주요 제분업체들이 사료 원료로 쓰이는 밀가루 부산물의 가격을 8년 넘게 담합한 정황을 포착해 심의에 돌입했다.
◆‘AI 해킹’ 피해사 16곳…저축은행 CISO 공시 소홀
14일 금융위원회에 따르면 신한은행 정보 유출 사고 전후로 사고 발생이 확인된 금융사는 총 16사로 파악됐다. 현재까지 확인된 정보 유출 규모는 약 10만건으로 유출된 정보는 성명, 연락처, 주민등록번호, 이메일 주소 등이었다.
업권별로는 은행 4곳(신한·국민·부산·하나), 저축은행 4곳(예가람·웰컴·DB·OK), 여신전문금융회사 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융업체 2곳(PFCT·모우다), 전자금융업체 1곳(브라이트픽스), 가상자산사업자 2곳(스트리미·프라뱅), 상호금융 1곳(새마을금고중앙회)이다.
금융회사들의 보안 관리 실태에서도 허점이 드러났다. 금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 보안 항목을 긴급 점검한 결과, 130곳에서 미흡한 사항이 발견됐다.
이번 연쇄 해킹 사태를 계기로 보안책임을 강화하기 위해 관리에 전반적인 책임을 지는 CISO를 경영공시에 의무적으로 포함하도록 법적으로 강제해야 한다는 지적이 나온다. 서울에 본사가 있는 저축은행 23개사가 올해 2분기 각사 홈페이지에 공시한 내용을 분석한 결과, 경영공시에 CISO를 미표기하거나 공시를 누락한 회사가 14개사로 전체의 60.9%에 달했다. 이 중에는 이번에 해킹으로 개인정보가 유출된 예가람저축은행과 웰컴저축은행도 포함됐다. 4대 금융지주 계열 저축은행 중 신한저축은행을 제외한 KB저축은행·NH저축은행·하나저축은행 3곳 역시 CISO 공시가 되지 않았다.
이는 전자금융거래법에 CISO 지정은 의무지만, 이를 공시하는 것은 의무로 규정하지 않은 탓이다. 경영공시는 금융소비자의 알권리를 위해서도 중요하지만, 보안 책임자의 존재·권한을 외부에 투명하게 밝히는 과정 자체가 최고경영진과 이사회로 하여금 보안 예산·조직을 가볍게 여기지 못하게 하는 ‘내부통제 장치’로 작동할 수 있다.
웰컴저축은행 관계자는 “과학기술정보통신부 주관 정보보호공시가 있어 (경영공시를) 따로 하지 않았다”고 했다. 그러나 과기정통부 주관 정보보호공시 역시 의무가 아니어서, 지금처럼 금융사가 공시를 누락하면 소비자들이 CISO 현황을 확인할 수 없다. 경영공시에도 의무적으로 CISO 현황을 공시해야 실질적인 보안책임을 강제할 수 있다.
KB저축은행 측은 “CISO를 겸임하는 임원이 있지만 경영공시에는 주로 맡은 업무만 표시했다”는 입장이다. 그러나 이는 이 금융회사 내부에서 정보보호를 부차적인 업무로 여기는 방증이라는 지적이다. 정보보호를 주요 경영 과제로 다뤘다면 공시 명단이나 담당 업무에서 소외될 리 없었기 때문이다.
◆위약금 20억이면 솔리다임 상장
금융투자업계에 따르면 솔리다임은 최근 미국 IPO를 위한 대표 주관사를 선정했으며 이르면 내년 상장을 통해 약 100억달러(약 13조4000억원)를 조달할 것으로 보인다. 솔리다임의 상장을 공식화하면 SK하이닉스와 SK스퀘어가 중복상장 규정에 따라 ‘모회사 이사회 5대 의무’를 각각 부담해야 한다.
지난 8월3일부터 시행한 중복상장 가이드라인은 여러 단계에 걸쳐 복수의 상장사가 연결 관계인 종속회사를 상장할 경우 해당 상장사 모두 모회사로 본다. 솔리다임처럼 해외에 상장해도 똑같이 적용한다. 모회사의 범위는 공정거래법상 계열회사 간 수직적 지배관계는 첫 단계에서 지분율 20% 이상, 이후 단계는 해당 계열회사가 다음 계열회사 지분을 50% 초과해 보유하는지를 기준으로 판단한다.
SK그룹의 반도체 부문 지배구조는 ‘SK㈜→SK스퀘어→SK하이닉스→AI컴퍼니→솔리다임’으로 이어진다. SK하이닉스는 솔리다임의 조모회사이며 SK스퀘어는 증조모회사다. SK스퀘어는 SK하이닉스 지분 20.5%를 보유해 중복상장 규정상 모회사에 해당한다. 반면 SK㈜는 SK스퀘어가 보유한 SK하이닉스 지분이 50%를 초과하지 않아 규정상 모회사에서 제외한다.
따라서 솔리다임 상장 시 SK하이닉스와 SK스퀘어 이사회는 각각 △중복상장이 일반주주에게 미칠 영향 평가 △주주보호 방안 마련 △주주소통 또는 주주동의 여부 확인 △이사회 찬반 결의 및 자회사 통지 △관련 정보 공시 등 5대 의무를 이행해야 한다. 자회사 상장에 따른 주가 할인 가능성 등을 종합적으로 평가하고 이를 토대로 구체적인 주주보호 방안을 마련해야 한다는 의미다. 이후 주주와 소통하고 이사회에서 상장에 대한 찬반 결의도 거쳐야 한다.
문제는 중복상장 규정의 실효성이다. 거래소 규정에 따르면 중복상장 관련 주주보호 의무를 위반한 상장사에는 최대 10억원의 상장계약 위약금과 1일간의 매매거래정지 조치를 부과한다. 위약금은 과거 1년 평균 시가총액에 따라 차등 적용한다. 시가총액이 113조원인 SK스퀘어와 1000조원을 웃도는 SK하이닉스에 최대 10억원의 위약금(합산 20억원)은 제재 효과가 제한적일 수밖에 없다. 위약금 규모가 작은 건 거래소의 불성실공시 위반제재금 상한액(10억원)을 기준으로 했기 때문이다.
금융투자업계 관계자는 “거래소의 위약금 규정만으로 중복상장 문제를 해결하기엔 한계가 있다”며 “위약금 규정은 사실상 실효성이 없고 위약금 부과 시 공시를 통해 기업 평판에 영향을 주는 정도일 뿐”이라고 지적했다. 아울러 SK하이닉스와 SK스퀘어가 모회사 이사회 5대 의무를 이행할 때 내용이 미흡해도 거래소가 내용 수정을 지시할 권한도 없다.
◆부활 ‘재계 저승사자’ 첫 사건은 식품업체 담합
관계부처에 따르면 공정위 중점조사기획단은 이날 대상과 오뚜기, CJ제일제당 등에 조사관을 보내 현장조사를 벌였다. 공정위는 이들 업체가 수년 동안 가공식품 김치, 두부, 유지류, 선물세트, 즉석밥류, 장류 등의 식품을 담합한 정황을 포착하고 조사에 나선 것으로 알려졌다.
이번 사건은 지난 9월1일 공식 출범한 중점조사기획단이 맡은 첫 사건이다. 그만큼 민생과 밀접한 분야의 법 위반 행위가 엄중하다고 인식했기 때문으로 풀이된다. 앞서 주병기 공정위원장은 중점조사기획단에 관해 “조사역량을 적극 활용해 국민 일상과 맞닿은 민생 밀접 분야의 불공정행위를 신속하고 집중적으로 점검해 나가겠다”고 밝힌 바 있다.
공정위 사무처는 이날 밀가루 부산물 제품 가격 담합에 관한 심사보고서를 피심인들에게 송부했다. 심의 대상에 오른 기업은 대한제분과 사조동아원, 사조대림, 삼양사, CJ제일제당, 한탑 6개사다. 사무처는 6개사가 2017년 4월부터 2025년 10월까지 약 8년6개월 동안 매월 밀가루 부산물의 판매 가격을 담합한 것으로 판단했다. 관련 매출액은 1조4000억원으로 과징금 부과 기준율(10.5∼15.0%)을 적용하면 최대 2100억원의 과징금이 부과될 수 있다.
밀가루 부산물은 주로 사료 원료로 쓰이는데, 6개사의 점유율이 78%에 달한다. 제분사들이 가격을 담합해 사료 원료 가격을 인상하면, 배합사료의 가격이 오르며 농가와 소비자의 물가 부담으로 연쇄됐을 가능성이 있다.
제분사들은 지난 5월에도 밀가루 가격을 담합한 혐의로 6710억원의 과징금을 부과받았다. 당시 과징금을 부과받은 기업은 대한제분, CJ제일제당, 사조동아원, 삼양사, 대선제분, 삼화제분, 한탑 7개사로, 이 중 5개사가 이번에도 심의 대상에 올랐다.