구멍난 우리은행 '정보보안'···中 위탁한 금융정보는 괜찮나

은련퀵송금 이용 고객 정보, 7년째 중국서 저장·활용中당국은 언제든 볼 수 있다?···우리은행 "유출 우려 없어"학계선 "꾸준한 관리·감독, 만약 대비한 문서화도 필요"

우리은행이 지난 7년간 일부 고객의 금융정보를 중국에 위치한 협력사 서버에 위탁해온 것으로 확인됐다. 중국은 당국의 요청이 있으면 기업이 수집한 개인정보도 제출해야 한다는 의혹을 받는다.

전문가들은 우리은행이 최근 협력사 관리 부실로 고객 개인정보를 대거 유출한 만큼, 위탁사로서 책임감을 갖고 더욱 철저한 모니터링과 관리·감독 노력을 기울여야 한다고 지적한다. 특히 관련 내용을 문서화해 '잠재 리스크'에도 대비해야 한다고 조언한다.

그래픽=박혜수 기자

6일 우리은행 개인정보 처리방침에 따르면 '은련퀵송금' 서비스를 이용한 고객의 정보는 중국으로 이전돼 유니온페이 인터내셔날(이하 유니온페이)이 3년간 보유·이용한다.

중국에 이전되는 고객 정보는 성명·고객번호·국가·도시·주소 등 일반 개인정보를 비롯해 ▲신용거래정보(계좌번호) ▲신용능력정보(자금원천) 등이 포함된다. 유니온페이는 이 정보를 은련퀵송금 및 지급거래 ▲고객확인의무 ▲자금세탁관리 ▲제재 업무 준수 ▲금융사고 조사 등에 활용한다.

은련퀵송금은 우리은행이 2019년 유니온페이와 손잡고 도입한 중국 특화 해외송금 서비스다. 올해로 7년째 우리은행 은련퀵송금 고객의 정보가 중국 서버에 저장·활용돼왔다는 게 된다.

이런 사실이 뒤늦게 주목받는 배경은 최근 발생한 개인정보 유출사고에 있다. 2024년 우리은행과 NFT(대체불가토큰) 플랫폼 구축 사업을 수행한 한 외부 개발업체는 파기해야 할 정보를 지우지 않았고, 결국 지난해 9월 우리은행 고객정보 1만7000여건을 외부로 유출하는 사고를 냈다. 우리은행의 협력사 개인정보 관리 체계에 큰 구멍이 있다는 방증이다.

게다가 은련퀵송금 사례는 '중국'이라는 국가가 가진 특수성도 있다. 중국 국가정보법상 모든 조직·국민은 국가의 정보 활동을 지원해야 한다. 이를 근거로 중국 정부가 국내 이용자들의 정보를 수집할 가능성을 배제하기 어렵다. 또 중국 개인정보 보호법에는 이런 과정에서 '개인의 동의를 받아야 할 의무'가 없다. 나도 모르는 사이에 내 정보가 유출될 수 있다는 얘기다.

이에 많은 기업은 중국으로의 정보 이전을 꺼린다. 게다가 금융권은 더 민감한 금융정보까지 다루는 만큼 신중한 접근이 필요하다는 게 정보보호 전문가들의 공통된 견해다. 일례로 국내 5대 시중은행(KB국민은행·신한은행·하나은행·우리은행·NH농협은행) 가운데 개인정보 처리방침상 중국으로 고객 정보를 이전한 건 우리은행이 유일하다.

우리은행은 유니온페이가 글로벌 표준을 준수하는 만큼 문제될 게 없다는 입장이다. 우리은행 관계자는 "관련 개인정보 보안은 국제 정보보호 표준인 ISO27001 가이드라인을 준수해 설계됐으며, 전송되는 모든 데이터는 글로벌 표준 프로토콜을 통해 암호화되고 인가되지 않은 접근은 차단된다"고 설명했다.

최경진 가천대학교 법학과 교수는 "(유니온페이사가) 국제 표준을 따르더라도 우리 국민의 개인정보를 보호하기 위한 기준과 조치가 제대로 작동하고 있는지는 위탁사로서 꾸준히 모니터링하고, 관리·감독한 내용을 문서화하는 노력을 기울여야 한다"고 조언했다.