[단독] 개인정보 털렸는데도 '서민금융 우수' … 디지털 시대 못 따라간 대부업자 선정기준

올해 해킹으로 고객 개인정보가 유출된 대부업체들이 금융당국의 ‘서민금융 우수 대부업자’에 이름을 올렸다. 현행 규정상 개인정보 유출 사고 자체가 결격 사유로 적용되는 것이 아니라 관련 법 위반에 따른 일정 수준 이상의 제재가 확정돼야 선정 여부에 반영되기 때문이다.

금융업무의 전산화·디지털화로 대부업권에서도 개인정보 보호와 정보보안의 중요성이 커졌지만, 우수업자 선정 잣대는 여전히 저신용자 자금공급 실적에 초점이 맞춰져 있어 제도 개선이 필요하다는 지적이 나온다.

30일 한국대부금융협회에 따르면 리드코프와 태강대부, 바로크레디트대부, 에이원대부캐피탈 등 총 23개사가 2026년 하반기 서민금융 우수 대부업자로 선정됐다. 특히 올해 상반기 해킹으로 고객 정보가 유출된 앤알캐피탈대부와 엠에스아이(MSI)대부도 명단에 이름을 올렸다.

서민금융 우수 대부업자 제도는 저신용자에 대한 원활한 자금 공급을 유도하기 위해 운영되고 있다. 금융위원회에 등록된 대부업자 가운데 금융 관련 법령을 준수하고 저신용자 신용대출 실적이 우수한 업체를 대상으로 반기마다 선정한다.

앤알캐피탈대부는 리드코프의 100% 자회사로 올해 초 해킹 공격을 받아 고객 정보가 외부로 유출됐다. 유출 정보에는 고객 이름과 주민등록번호, 주소, 휴대전화번호, 이메일뿐 아니라 대출 신청·승인 금액, 신용평가점수, 계좌정보 등이 포함된 것으로 알려졌다.

MSI대부에서도 지난 2월 13일부터 3월 23일까지 외부 공격에 따른 내부 시스템 무단 접근이 발생했다. 유출 가능 정보에는 이름과 주민등록번호, 주소, 휴대전화번호, 대출 실행 계좌, 직장 주소와 전화번호, 사업자등록번호 등이 포함됐다.

금융당국도 잇따른 개인정보 유출 사고를 계기로 대부업권에 정보보안 강화를 주문하고 있지만, 정작 서민금융 우수 대부업자를 가려내는 선정 기준에는 개인정보 유출이나 정보보안 사고 발생 여부를 별도로 반영하는 기준이 없다.

금융감독원은 지난 5월 상위 20개 대부업체 최고경영자(CEO)와 간담회를 열고 업무용 PC의 외부 인터넷 접속 제한과 전문 보안업체를 통한 보안 진단, 개인신용정보 암호화 등 보안 대책 마련을 당부했다. 관련 의무 위반으로 고객 정보 유출 사고가 발생할 경우 최대 50억원의 과징금 등 엄정 제재하겠다는 방침도 밝혔다.

하지만 우수 대부업자 선정 잣대는 다르다. 감독규정에 따르면 서민금융 우수 대부업자로 선정되려면 최근 3년간 관련 법령을 위반해 벌금형 이상을 선고받거나 대부업법 또는 금융소비자보호법에 따라 영업정지 이상의 처분을 받은 사실이 없어야 한다.

결국 사고가 발생하더라도 관련 제재가 확정되지 않았다면 이를 근거로 우수 대부업자 선정에서 곧바로 제외되지 않는 셈이다.

금감원 관계자는 "감독규정에는 개인정보보호와 관련한 별도의 기준이 없다”며 “향후 제재 절차가 끝나 제재를 받게 되면 우수 대부업자에서 빠지게 되지만 현재는 아직 제재가 끝나지 않은 상황"이라고 말했다.

이에 따라 개인정보를 취급하는 대부업체에서 정보 유출 사고가 발생하더라도 제재가 확정되기 전까지 우수 대부업자로 선정될 수 있다는 점에서 현행 선정 기준의 적정성을 둘러싼 우려가 나온다.

특히 서민금융 우수 대부업자는 은행권 차입 등 자금 조달에서 혜택을 받을 수 있는 만큼 저신용자 신용공급 실적뿐 아니라 개인정보보호와 정보보안 관리 수준을 선정 과정에 어떻게 반영할지를 두고 논의가 필요하다는 의견이다.