직원 313명이 고객 비밀번호 4만 건을 바꿨다

잠든 계좌를 깨우면 실적이 됐다

우리은행은 인터넷·모바일뱅킹에서 1년 이상 거래가 없는 계좌를 비활성 계좌로 분류했다. 비활성 계좌의 비밀번호가 새로 설정되면 그 계좌는 다시 쓰기 시작한 것으로 집계됐다.

활성화 실적은 영업점 평가에 반영됐다. 고객을 새로 데려오지 않아도, 이미 있는 고객의 잠든 계좌를 되살리면 숫자가 올라갔다.

영업점 직원은 고객 계좌의 임시 비밀번호를 새로 설정할 수 있는 권한을 가지고 있었다. 원래는 고객이 영업점을 찾아와 비밀번호를 다시 설정할 때 쓰는 기능이다. 고객이 오지 않아도 같은 기능을 쓸 수 있다는 점이 문제였다.

2018년 1월부터 8월까지 영업점 약 200곳에서 직원 313명이 이 작업을 했다. 영업점에 비치된 공용 태블릿이 쓰였고 고객의 동의는 없었다. 우리은행은 이 작업이 계좌 활성화 실적을 올리기 위한 것이었다고 확인했다.

대상이 된 계좌의 주인은 대부분 은행과 오래 거래하지 않던 사람들이다. 쓰지 않는 계좌이므로 비밀번호가 바뀐 사실을 알아차릴 가능성도 낮았다. 실제로 이 사실이 고객에게 알려지기까지 1년 6개월이 걸렸다. 그동안 고객의 돈이 빠져나간 사실은 확인되지 않았다.

숫자가 두 개였다

금융감독원이 파악한 변경 건수는 4만 건이다. 우리은행이 인정한 무단 도용은 2만 3,000건이다. 같은 사건을 두고 두 기관이 서로 다른 숫자를 내놓았다.

차이가 생긴 이유는 무엇을 기준으로 세느냐에 있었다. 금융감독원은 영업점 공용 태블릿에서 실행된 비밀번호 변경 전체를 봤다. 우리은행은 그 가운데 고객이 직접 조작한 것으로 볼 수 있는 건을 빼고 셌다.

우리은행은 나머지에 대해 영업점을 찾은 고객이 태블릿에서 직접 비밀번호를 바꾼 경우라고 설명했다. 금융감독원은 공용 태블릿에서 확인된 4만 건 전체가 문제라고 봤다.

2020년 2월 국회에 제출된 자료로 4만 건이라는 숫자가 확인됐다. 은행이 건수를 축소해 보고했다는 지적이 나왔다.

숫자가 정해지지 않으면 통보 대상도 정해지지 않는다. 4만 건이 문제라면 4만 개 계좌의 주인에게 알려야 하고, 2만 3,000건이 문제라면 나머지 고객은 통보 대상에서 빠진다. 두 기관의 판단은 끝까지 일치하지 않았다.

고객은 2년 뒤에 알았다

우리은행은 2018년 7월 이 사실을 자체적으로 확인했다. 금융감독원은 2018년 10월과 11월에 실시한 경영실태평가의 정보기술 부문 검사에서 적발했다.

사실이 언론에 공개된 것은 2020년 2월 초다. 우리은행은 2020년 2월 하순부터 해당 고객에게 문자로 통보하기 시작했다. 비밀번호가 바뀐 지 1년 6개월이 지난 뒤였다.

2020년 5월 녹색소비자연대전국협의회는 우리은행에 질의서를 보내 정신적 손해에 대한 배상을 요구했다. 단체는 비밀번호 무단 변경 자체가 개인정보의 위법한 변경에 해당한다고 주장했다.

그 사이 고객이 할 수 있는 일은 없었다. 자기 계좌의 비밀번호가 언제 누구에 의해 바뀌었는지 확인할 방법이 없었고, 은행이 알려 주기 전까지는 문제가 있었다는 사실 자체를 알 수 없었다.

제재까지 2년

금융감독원은 2020년 7월 16일 제재심의위원회를 열어 우리은행의 부문검사 결과 조치안을 심의했다. 과태료 부과를 금융위원회에 건의하고 임직원에 대해서는 주의 등을 결정했다.

2020년 9월 17일 제재가 확정됐다. 우리은행에 기관경고와 과태료 60억 5,000만 원, 임원 2명에게 주의 조치가 내려졌다.

사건 발생부터 제재 확정까지 2년이 걸렸다. 금융감독원은 검사 결과를 수사기관에도 통보할 예정이라고 밝혔다.

이 사건에서 개별 고객에 대한 배상 절차는 진행되지 않았다. 금전 손실이 확인되지 않았기 때문이다. 제재는 은행과 임원을 대상으로 끝났고, 비밀번호가 바뀐 고객이 받은 것은 문자 한 통이었다.