[단독] 농협 ATM 통장입출금, 금감원 감독규정 위반

이중암호 他은행·수협과 달리 1단계비밀번호…'별도 시스템 갖출 것' 요구 어겨

[프라임경제] 일반예금통장을 만들러 오랜만에 농협 점포를 찾은 A양. 체크카드를 만들어 달라는 요구에 발급 비용이 든다는 답이 돌아오자, A양은 그 대신에 통장만으로도 자동화기기(ATM)에서 현금을 찾을 수 있는 입출금기능을 넣어달라고 요구한다. 그런데 행원의 일처리가 좀 이상하다고 A양은 생각한다. ATM에서 통장입출금 거래를 할 수 있도록 등록하려면 보통 다른 시중은행들은 통장 비밀번호 4자리 이외에도 '통장거래승인번호'를 추가 등록하도록 요구하기 때문. 하지만 뭐 하나 더 등록해야 하지 않냐고 물어봐도 행원은 "좀 전에 비밀번호 등록하셨잖느냐?"고만 한다. A양은 좀 이상하지만, 실제로 이 통장을 가지고 전국 각지에서 필요할 때마다 ATM으로 잘 인출해 썼다고 한다. 이 사례에서 문제는 정말 없는 것일까?

원래 가장 기본적인 은행의 입출금 거래는 창구에서 행원과 대면해 통장과 거래내역신청서, 인감(서명)을 사용해 거래를 하는 것이다. 하지만 전자기술이 발달하면서 인터넷(스마트폰) 금융 거래를 하기도 하고, ATM 등 기계를 상대로 처리를 하기도 한다.

위의 사례처럼 굳이 창구 거래를 위해 대기 시간을 쓸 필요없이, ATM에서 IC카드나 종이통장을 갖고 자신이 스스로 처리를 하면 되는 것이다. 다만 이런 거래에는 미리 해당 거래를 하겠다는 신청과 금융기관의 승인이 있어야 한다(IC카드는 발급시 신청서로 이를 갈음하며, ATM 통장입출금의 경우 별도의 신청서를 쓰고 통장에도 이 같은 거래 허용사실을 속지 첫장에 표시하는 게 관행).

농협은행이 신경분리 이후에도 중앙회 간섭에 시달려 시중은행 같은 경쟁력을 갖추기 어렵다는 동정론이 나오고 있다. 하지만, 타시중은행과 달리 은행다운 각종 규정 준수에 소홀하다는 또다른 지적이 나오면서 결국 마인드 변화부터 시작해야 맞다는 우려가 나온다. 사진은 당국 감독규정과 달리 운영되고 있는 농협 ATM 통장입출금 상황. = 임혜현 기자

◆6자리든 4자리든, 2단계 비밀번호로 한 번 더 방어 관행 공고화

금융감독원과 은행연합회, 금융결제원과 여러 시중은행들을 취재해 본 결과, ATM을 사용한 통장 입출금 거래와 IC카드 거래는 논리 구조가 약간 다르다고 한다. 사례에서 드러난 문제의 종합적 이해를 돕기 위해 이 둘을 나눠 간단히 살펴 보고 넘어가자.

ATM의 경우 통장에 대응해 발행된 IC카드를 사용하는데, 원래 마그네틱선카드 시대에는 한 카드에 담을 수 있는 정보가 한정돼 있었기 때문에 한 카드에 한 통장(계좌)가 상식이었다. 당연히 비밀번호 하나를 통해 거래를 했다(대개 4자리 암호).

그런데, 전면에 금색칩이 심어진 IC카드가 일반화되는 시대가 되면서, 암호 체계가 복잡해졌다. 한 카드에 둘 이상의 계좌 정보를 담을 수 있게 된 것(바꿔 말하면, 카드 하나로 두 통장의 거래를 다 할 수 있다는 것).

지금도 1카드, 1계좌 거래를 하는 경우에는 비밀번호 한 단계로 인출을 할 수 있다. 다만, 위에서 말한 1카드 다계좌 거래를 하는 경우에는, 비밀번호를 입력한 뒤에도 한 단계를 더 거친다. 금융결제원에서는 이 같은 번호를 "핀번호라고 한다"고 설명한다. 다만 이 같은 이중의 보호체계가 언제 어떤 경로로 도입된 것인지에 대해서, 또 그 강제력 여부에 대해서는 확인이 어려웠다. 여러 취재원 의견을 종합하면, '비밀번호+핀번호'의 두 단계 보호 시스템은 2004년말에서 2005년경 칩을 사용하는 카드가 확산되면서 도입된 것인데, 강제적인 규정이나 명령에 의한 것은 아닌 것으로 보인다(강제력없는 행정지도가 있었던 것으로 생각되나, 그 발령처를 특정하거나 기록을 찾기가 어렵다). 

거칠게 요약하면, 어느 은행에서 IC카드를 사용한 1카드 다계좌 고객의 ATM 관련 거래에서 두 단계로 보통 진행하는 1단계 (4자리) 비밀번호+2단계 (6자리) 핀번호의 이원화된 체계를 따르지 않고, 편하게 한 단계로만 거래하도록 하라고 해도 이것이 문제가 된다고 보기는 어렵다.

◆통장을 갖고 ATM으로 거래? IC카드 거래와 달리 '감독규정' 사항

그런데 같은 1단계 비밀번호+2단계 승인번호의 체계라고 해도, 종이통장으로 ATM 거래를 하는 문제는 논리 구조가 다르며 업무 관할이나 감독도 다르다는 게 여러 취재처의 일반적인 견해다.

통장으로 ATM 통장입출금 거래를 하겠다고 신청을 하면 시중은행들은 통장거래승인번호(명칭은 조금씩 다름)를 부여한다. 이 번호의 경우 조사를 해 보니, 6자리인 경우가 많지만 특이하게 4자리 번호를 쓰는 유력 시중은행도 있다고 한다.

이 통장거래승인번호의 위상은 무엇인가? 관련 기구의 해석을 받아보니, 이 6자리 통장거래승인번호의 근거는 위의 핀번호가 행정지도 등에 의해(권고에 의해) 도입된 것으로 보이지만 어쨌든 은행권 자율에 의해 도입, 유지되는 것과 다르다. 즉 규정상 해석에 의한 필수사항이라는 지적이다.

은행연합회의 관계부서는 이에 대해 "전자금융감독규정에 따르면 제6절에서 전자금융업무를 다룬다"며 이에서 종이통장으로 ATM에서 인출 등 거래를 하는 경우에 비밀번호+통장거래승인번호를 사용하는 논리적 근거를 찾는다.

농협은행의 허술한 ATM 통장입출금 허용은 고객의 재산보호 안전이라는 문제 외에도 감독규정 해석상 2단계 시스템을 구축해야 하는 점에도 어긋난다는 유관기관 해석이 나왔다. 보통 시중은행들의 관행이나 감독의 시스템 등을 도외시하는 태도가 중앙회 간섭보다도 오히려 더 농협은행과 농협금융 경쟁력에 방해가 될 수 있다는 우려도 나온다. ⓒ 금융감독원 감독 규정 등 소개 페이지.

관계자는 이에 대해 "6절의 제34조 2항 2호에 보면 전자금융사고를 예방하기 위해 비대면 전자금융거래를 허용하지 않는 계좌 개설, 중요거래정보에 대한 문자메시지 및 이메일 통지 등의 서비스를 이용자가 요청하는 경우, 동 서비스를 제공할 수 있도록 시스템을 갖출 것으로 정하고 있다"면서 "(승인번호의 경우) 이 서비스 제공의 시스템으로 본다"고 한다.

즉 이 관계자는 종이통장을 가지고 ATM 거래를 하는 것은 이례적인 경우라고 지적했다. "(원래) 종이통장은 비대면의 거래를 안 하겠다는 것"이라는 말이다.

그런 종이통장으로 개설한 계좌에 대해 다른 신청에 의해 '인터넷뱅킹(전자금융)을 하는 것도 아니고, 그렇다고 비대면의 거래라는 특성이 사라지는 것도 아닌' 특수한 거래를 요청하는 것이 바로 ATM 입출금거래인 것인데, 그러려면 위 규정에서 말한 특수한 서비스의 시스템 제공이 필요하고, 그 시스템=통장승인번호라는 2번째 단계의 암호라는 설명이다. 

금감원의 전자금융감독규정은 그 목적에서 전자금융거래법 집행의 필요에 따라, 금융위원회 감독을 받는 기관에 적용한다고 하므로 농협은행 등도 여기에 포함된다고 할 수 있다(농협은행은 은행연합회 회원).

즉, 4자리의 비밀번호에 이어, 4자리이든 6자리이든, 핀번호와 유사한 이 통장거래승인번호라는 2번째 단계를 거치는 은행이 많다는 것이고 규정의 해석상 이는 반드시 필요한 대목이라 이 같은 관행이 형성되고 있는 것인데, 유독 농협은행은 이 같은 조치가 없이 고객들에게 비밀번호 한 단계로만 거래를 시키고 있다.

이는 같은 상호금융에서 출발한 수협은행과도 다르다. 수협은행은 확인 결과 통장으로 ATM 입출금 거래를 하려면 통장거래승인번호를 부여하며, 암호와 이 번호를 둘 다 입력해야 한다.

수협은행의 경우, 시중은행들과 마찬가지로 1단계 비밀번호+2단계 통장거래승인번호(은행마다 명칭은 약간 다름)의 체계를 거치도록 ATM 통장입출금 고객들에게 요구하고 있다. = 임혜현 기자

= 임혜현 기자

◆전산시스템 독자성 때문에 골치? 농협, 사소한 대목부터 고객안전 외면

이런 상황은 농협이라는 조직이 갖는 특수성에 일정한 배경이 있다는 해석도 가능하다. 농협은행은 지난 3월과 4월에 전산사고를 낸 바 있는데 당시 처리 상태를 보면 이해가 빠를 것이다.

이때 금감원은 관계자 강력 문책 등을 언급했지만, 사실상 농협은행과 그 지휘기구인 농협금융지주까지만 겨냥했을 뿐, 전산을 관리하는 농협중앙회는 직접 징계를 할 수 없었다. 중앙회의 경우 제재권이 금감원에 없어서 문제가 행여 발견된다 손치더라도, 농림축산식품부에 이를 통보하게 된다.

하지만, 이 같은 통장거래 등 금융의 거래 시스템 기술 문제가 아닌 일반론의 감독에까지 농협 전산의 특수성 운운하는 것은 문제가 있다.

이미 이른바 농협 신경분리를 앞두고 지난 2012년 2월말에 당시 금감원에서 농협금융지주에 대해 종합검사를 했는데 권혁세 당시 금감원장이 "종합검사를 벌여 자세히 점검해야 농협금융지주가 건전하게 자리잡을 수 있다(2월27일 임원회의 발언)"고 의욕을 보였고 이후 농협금융 특히 그 산하의 농협은행 부문의 감독은 금감원이 갖는다는 데 이견이 없다.

그러므로 이런 시중은행은 물론 같은 중앙회 출신의 은행인 수협과도 달리, 허술한 점은 둘째치고 금감원 감독의 틀에서 어긋나는 문제를 그대로 유지하고 있는 점은 빠른 개선이 필요하다는 지적이다.