경제타임스 김은국 기자 | 445억 원 규모의 가상자산이 순식간에 사라지고, 3천만 명이 넘는 이용자의 개인정보가 외부로 유출됐다. 국내 최대 가상자산거래소 업비트 해킹 사고와 이커머스 1위 기업 쿠팡의 개인정보 유출 사태는 플랫폼 기업이 보유한 금융적 영향력과 이를 뒷받침할 제도적 장치 사이의 괴리를 적나라하게 드러낸 사건이다.
문제의 핵심은 이들 기업이 막대한 자산과 결제·정보 흐름을 통제하면서도 금융회사에 준하는 책임과 규제에서는 벗어나 있다는 점이다. 소비자 입장에서는 은행·카드사와 다를 바 없는 서비스를 이용하지만, 사고 발생 시 적용되는 감독·제재 체계는 전혀 다르다.
■ 금감원 손 닿지 않는 ‘쿠팡 본체’
쿠팡의 경우 금융당국의 직접 감독이 가능한 대상은 전자금융업자로 등록된 쿠팡페이에 한정된다. 쿠팡은 2020년 결제·포인트·송금 기능을 물적 분할했지만, 실제 이용자 데이터는 ‘원 아이디(One-ID)’ 체계로 통합 관리되고 있다. 그럼에도 쿠팡 본체는 금융회사가 아니라는 이유로 금융감독원의 직접 제재 대상에서 제외된다.
현행 전자금융거래법은 고의적 정보 유출이 입증될 경우 최대 6개월 영업정지를 규정하고 있지만, 해킹과 같은 외부 침입 사고에 대해서는 최대 1개월 영업정지에 그친다. 고의성 입증이 어려운 사이버 공격의 특성을 감안하면 사실상 실효성이 낮은 규제라는 지적이 나오는 배경이다.
금융당국 관계자는 “결제 기능을 수행하면서도 은행이나 카드사에 요구되는 수준의 보안·자본 규제를 받지 않는 구조 자체가 문제”라며 “플랫폼 금융에 맞는 별도의 규율 체계가 필요하다”고 말했다.
■ 가상자산 거래소도 ‘감독 사각지대’
업비트 역시 구조적으로 비슷한 위치에 놓여 있다. 가상자산사업자는 전자금융거래법 적용 대상이 아니며, 현재는 특정금융정보법에 따른 자금세탁방지(AML) 의무만 감독받는다. 지난해 시행된 가상자산 이용자 보호 중심의 1단계 법제에서도 해킹 사고 발생 시 의무 보고나 자동 배상 규정은 포함되지 않았다.
이찬진 금융감독원장은 최근 업비트 해킹 사태와 관련해 “시스템 보안은 가상자산의 생명”이라며 문제의 심각성을 인정하면서도 “현행 가상자산이용자보호법상 제재에는 분명한 한계가 있다”고 언급했다.
현재 논의 중인 가상자산 2단계 입법에서는 해킹 발생 시 사업자의 배상 책임과 제재 수위를 명확히 하는 방안이 거론되지만, 국회 논의는 속도를 내지 못하고 있다.
■ ‘혁신’ 뒤에 가려진 책임 공백
전문가들은 플랫폼과 가상자산 사업자에 대해 ‘사실상 금융’ 기능을 수행하는 만큼 무과실 배상 책임과 금융사 수준의 보안 투자 의무를 부과해야 한다고 지적한다. 금융 전문 변호사는 “은행은 과실 여부와 관계없이 사고 발생 시 배상 책임을 지는데, 플랫폼과 가상자산 거래소는 동일한 위험을 초래하면서도 책임은 제한적”이라며 “이 구조가 반복적인 해킹 사고를 부추긴다”고 말했다.
정책 기조 변화의 신호도 감지된다. 이재명 대통령은 최근 업무보고에서 쿠팡을 직접 언급하며 개인정보 유출 사고에 대한 처벌 강화를 지시했다. 정부는 반복적·중대한 법 위반에 대해 매출의 최대 10%까지 부과할 수 있는 징벌적 과징금 특례 도입을 추진 중이다.
금융과 비금융의 경계가 사실상 무너진 상황에서, 규제 체계가 이를 따라가지 못할 경우 피해는 고스란히 이용자에게 전가될 수밖에 없다. ‘혁신’이라는 이름 아래 방치된 감독 공백을 언제까지 두고 볼 것인지에 대한 근본적인 질문이 제기되고 있다.
