[단독] 계좌 해킹에 100억 빠져나가…소송 당한 미래에셋

해킹을 통해 계좌 소유자도 모르는 사이 110억원 상당의 주식(현재 시가 기준)과 현금이 다른 계좌로 빠져나가는 일이 미래에셋증권에서 발생했다. SM엔터테인먼트 시세조종 사건으로 법정 구속됐던 배재현 전 카카오 투자총괄대표(사장)가 피해 당사자다. 해킹 조직은 계좌에서 돈이 빠져나가도 대응할 수 없는 자산가를 겨냥했다. 군에 있던 방탄소년단(BTS) 멤버 정국, 수감 중이던 이동채 에코프로 회장도 표적이 된 것으로 전해졌다.

◇위조 신분증·대포폰으로 돈 빼돌려

배 전 사장이 지난달 “빠져나간 현금과 주식을 원상복구해 달라”며 미래에셋증권을 상대로 민사소송을 제기한 것으로 9일 알려졌다. 해킹 피해는 2023년 발생했지만 양측이 피해 범위 및 배상금 산정을 놓고 1년여간 협의를 이루지 못해 소송에 이르렀다.

경찰 수사 등에 따르면 해킹 조직은 이동통신사 전산 시스템에서 자산가들의 주민등록번호와 휴대폰 번호 등을 미리 빼돌렸다. 이후 해당 자산가가 구속 등으로 스마트폰 이용이 불가능해지면 본격적으로 범행에 나섰다. 배 전 사장은 SM엔터 시세조종 혐의로 2023년 10월 법정 구속되자 해킹 조직은 빼돌린 개인 정보로 위조 신분증과 대포폰을 만들었다.

이후 해킹 조직은 배 전 사장의 자산 대부분이 예치된 미래에셋증권을 겨냥했다. 홈트레이딩시스템(HTS)에서 ‘내 아이디 찾기’로 아이디를 찾은 뒤 비밀번호를 재발급했다. 여기에 사용된 위조 신분증은 주소지 및 발급 지역, 직인 등이 원본과 달랐고 사진도 일부 가공한 흔적이 있었지만 보안 시스템이 잡아내지 못했다.

이를 통해 계좌에 접속한 해킹 조직은 당시 보유 중이던 주식을 모두 매도하고 하루 이체 한도를 최대(5억원)로 상향했다. 배 전 사장의 주거래 은행으로만 지정돼 있던 이체 대상도 삼성증권과 인터넷은행, 암호화폐거래소 등 네 곳을 추가했다. 이후 새로 추가한 네 곳으로 주식과 현금을 빼돌렸다. 하루 현금 인출 한도가 차자 미래에셋증권 계좌에 있던 주식을 삼성증권 계좌로 옮기는 방식(타사대체출고)도 이용했다.

이 중 삼성증권은 이 같은 거래를 이상거래로 판단해 계좌를 동결했다. 이에 따라 삼성증권으로 이체된 50억원을 제외한 60억원 가치의 주식 매도금이 암호화폐 형태로 해외에 있는 해킹조직 계좌로 빠져나갔다.

◇미래에셋 “시스템 문제없었다”

이들은 배 전 사장을 포함해 258명의 자산가로부터 390억원을 빼돌렸다. 해킹조직 총책 2명이 해외에서 검거돼 지난 8월 국내로 송환되면서 수사에 속도가 붙고 있다. 이들은 정국, 이동채 회장 등의 주식계좌도 해킹했지만 해당 증권사에서 이상거래로 판단하면서 금전 피해로는 이어지지 않았다.

배 전 사장과 미래에셋증권 사이의 소송전도 본격화했다. 우선 피해 원인과 관련해 배 전 사장은 ‘위·변조로 발생한 금융사고는 금융사가 책임져야 한다’는 전자거래법을 들어 주식과 현금의 원상 복구를 요구하고 있다. 하지만 미래에셋증권은 “현금과 주식이 범인들의 계좌가 아니라 배 전 사장 명의의 금융회사 계좌로 옮겨졌다”고 맞서고 있다. 이어 “신분증 진위 확인은 정부 시스템으로 이뤄져 당사 책임은 없다”며 “범인들이 신분증 확인 외에도 휴대폰 본인인증, 타행 1원 인증 등 3단계 본인 확인 절차를 거쳐 비밀번호를 바꾼 것으로 미래에셋은 적법한 본인인증 시스템을 갖췄다”고 했다.

배상금액을 놓고도 입장차가 크다. 미래에셋증권은 범인들이 주식을 매도한 시점의 매각가에서 회수 추정액을 제외한 16억원을 배상 가능액으로 봤다. 반면 배 전 사장은 해당 주식의 현재가를 기준으로 60억원을 배상가로 요구하고 있다.

금융당국은 소송 결과를 살펴 문제 금융사 징계 등의 조치를 취할 예정이다. 다만 대형 금융사들은 신분증을 실제 얼굴과 대조하는 안면 인식 시스템을 도입하는 등 본인 인증을 최근 대폭 강화해 해당 사건이 재연될 가능성은 낮은 것으로 알려졌다.

차준호 기자 chacha@hankyung.com