[녹색경제신문 = 박지안 기자] KB·신한·하나·우리 등 4대 금융지주가 모건스탠리캐피털인터내셔널(MSCI)의 ESG(환경·사회·지배구조) 평가에서 모두 최고 등급인 'AAA'를 받았다. 하지만 국정감사에서는 주요 은행의 해킹 대응이, 앞서 금융당국 제재에서는 계열 증권사의 내부통제 부실이 잇따라 지적됐다. 업계 내 상대평가인 ESG 등급이 실제 사고 앞에서의 작동까지 보장하지는 않는다는 지적이 나온다.

KB·신한·하나·우리, 모두 'AAA'

20일 녹색경제신문의 취재를 종합하면 4대 금융지주는 최근 MSCI ESG 평가에서 모두 AAA 등급을 받았다. 다만 평가연도와 연속 획득 이력은 각기 다르다.

KB금융은 2026년 평가에서 5회 연속 AAA를 받았다. 회사 측은 국내 금융회사 가운데 처음이라고 설명했다. 신한금융과 우리금융은 2025년 평가에서 각각 2년, 3년 연속 AAA를 받았다고 밝혔다. 하나금융도 2024년과 2025년 평가에서 AAA를 받았다.

MSCI ESG 평가는 산업별로 재무적 영향이 큰 지속가능성 위험에 기업이 얼마나 노출돼 있고 이를 얼마나 잘 관리하는지 동종업계와 비교한 결과다. 정책과 조직뿐 아니라 성과지표와 관련 사건·논란도 반영되며, 등급은 AAA부터 CCC까지 7단계로 나뉜다.

각 지주가 내세운 강점은 조금씩 달랐다. KB·우리금융은 지배구조와 정보보호를, 신한·하나금융은 지배구조와 소비자 보호를 주요 강점으로 꼽았다.

'정보보호 강점'이라더니…해킹 인지에만 수십 시간

KB금융은 AAA 획득 배경으로 계열사 전반의 정보보호·데이터 보안 체계를 꼽았다. 그러나 19일 국회 정무위원회의 금융감독원 국정감사에서는 국민은행의 해킹 대응이 도마에 올랐다.

김용만 더불어민주당 의원은 국민은행이 최초 공격을 일상적인 이상 트래픽으로 판단해 IP만 차단했고, 이후 이어진 추가 공격으로 고객정보가 유출됐다고 지적했다.

이에 이환주 KB국민은행장은 "신속하게 차단하고 대응하지 못한 점에 대해 아쉬움이 많이 남는다"고 답했다. 다만 이 행장은 금융보안원의 공격자 IP 통보 전에 자체적으로 이상 징후를 확인하고 차단했다고 해명했다.

다른 은행도 사정은 비슷했다. 김재섭 국민의힘 의원에 따르면 최초 공격부터 이를 인지하기까지 신한은행은 15시간 26분, 하나은행은 41시간 44분이 걸렸다.

소비자 보호를 강점으로 내세운 신한은행에서는 고객 2만5000여명의 개인정보가 유출됐다. 이 가운데 유출 여부를 직접 조회한 고객은 5682명으로 약 22% 수준이다. 김 의원은 유출 정보가 보이스피싱 등 2차 금융사기에 악용될 수 있다고 우려했다.

반면 우리은행은 해킹 시도가 있었지만 침입방지시스템이 작동해 현재까지 고객정보 유출은 확인되지 않았다고 밝혔다. 은행권은 이번 사고로 계좌정보나 비밀번호 등 금융거래 정보는 유출되지 않았다고 설명했다.

금융사 ESG 보고서가 소비자보호를 실제로 얼마나 담고 있는지에 대한 의문은 학계에서도 제기됐다.

김성숙 계명대 교수와 최한솔 이화여대 초빙교수는 올해 4월 '금융소비자연구'에 실은 논문에서 4대 금융지주를 포함한 금융그룹·은행·증권·보험사의 ESG 보고서 136편 가운데 사회(S) 영역을 분석했다. 그 결과 고객정보보호 관련 주제는 증권·보험사 보고서에서만 도출됐고, 금융그룹과 은행 보고서에서는 나타나지 않았다.

연구진은 보고서가 이미 표준화된 활동 위주로 기술되면서 일부 소비자보호 영역이 상대적으로 소외되고 있다고 분석했다. 이어 금융그룹과 은행의 고객정보보호를 강화해야 한다고 제언했다. 다만 기업이 직접 작성한 보고서를 바탕으로 한 분석인 만큼, 소비자가 실제로 겪는 부정적 이슈는 충분히 반영되지 않았을 수 있다는 한계도 함께 밝혔다.

지배구조 '최고' 평가…계열 증권사 중징계에도 등급 유지

4대 지주가 공통으로 강점으로 내세운 지배구조 영역에서도 비슷한 물음이 나온다.

금융위원회는 지난해 2월 19일 채권형 랩·신탁 운용 관련 위법행위로 KB증권·하나증권 등 8개 증권사에 중징계에 해당하는 기관경고를 의결했다. 9개 증권사에는 과태료 총 289억7200만원을 부과했다.

금융위에 따르면 이들 증권사는 2022년 하반기 레고랜드 사태로 채권시장이 경색되자 채권과 기업어음(CP)을 활용한 불법 자전·연계거래로 고객 재산 사이에서 손익을 옮기거나 회사 고유재산으로 고객 손실을 메웠다. 금융위는 리스크·준법·감사 부서의 감시·견제 강화와 최고경영자(CEO)를 포함한 전사 차원의 내부통제 강화를 주문했다.

제재가 확정된 뒤에도 두 지주의 등급은 그대로였다. 하나금융은 같은 해 11월 2025년 평가에서 2년 연속 AAA를 받았다고 밝혔다. KB금융도 2025년 11월과 올해 3월 평가에서 각각 4회, 5회 연속 AAA를 받았다. 핵심 계열사가 중징계를 받았어도 최고 등급은 흔들리지 않은 셈이다.

"시험도 채점도 은행이"…감독도 서류 중심

서류상 체계와 실제 작동 사이의 간극은 감독 영역에서도 지적됐다.

박성훈 국민의힘 의원은 금감원이 지난달 AI 기반 해킹 위험을 경고하고 금융보안원이 대응 교육까지 했지만, 금융회사들이 실제로 취약점을 개선했는지는 제대로 확인하지 않았다고 지적했다. 그는 "사고가 난 은행들이 스스로 점검하고, 스스로 보완하고, 스스로 적정 판정까지 내렸는데 금감원은 무엇을 했느냐"며 "시험도 은행이 보고 채점도 은행이 하는 게 감독이냐"고 비판했다.

감독 책임을 묻는 질의에 이찬진 금감원장은 "부족한 점이 많다는 것을 절실하게 느끼고 있다"며 "계속해서 성찰하겠다"고 답했다.

등급은 '관리 수준'을, 사고는 '작동'을 보여준다

MSCI ESG 등급은 위험 노출과 관리 수준을 업계 안에서 비교한 종합평가다. 관련 사건이 반영되더라도 AAA 등급이 계열사 보안과 내부통제가 실제 사고 앞에서 작동한다는 것까지 보증하지는 않는다.

이 때문에 금융지주들이 최고 등급을 홍보에 적극 활용하는 만큼 실제 작동을 보여주는 지표도 함께 공개해야 한다는 지적이 나온다. 사고 인지·차단 시간, 피해 고객 통지·구제 현황, 제재 이후 내부통제 개선 이행 결과 등이다.

최정윤 한국법제연구원 연구위원은 지난달 29일 국회ESG포럼 간담회 발제에서 인증을 받았다는 사실과 그 인증이 모든 주장을 정당화한다는 것은 다르다고 짚었다. 그는 "공시했으므로 책임 완료", "인증받았으므로 어떤 주장도 가능"이라는 식의 오인을 차단해야 한다고 강조했다.

결국 AAA의 무게는 이번 사고의 후속 조치에서 가려질 전망이다. 이찬진 금감원장은 이날 국감에서 이번 사고가 내부통제 관리의무와 관련해 CEO 책임 문제를 다루는 첫 사례가 될 것으로 내다봤다. 최고 등급을 받은 지주들이 실제 사고 대응에서 어떤 결과를 내놓을지 주목된다.