미토스와 새마을금고 황당한 횡령 사건 (장난감지폐, 내부통제, AI보안위협)

 솔직히 처음 이 뉴스를 접했을 때, 저는 순간 헛웃음이 나왔습니다. 지점장이 금고에서 현금 7,000만 원을 빼돌리고 그 자리를 장난감 지폐로 채워 놓았다는 건데, 이게 범죄 수법이 아니라 그냥 어린아이 장난처럼 느껴졌거든요. 그런데 웃고 넘기기엔 이 사건이 드러내는 금융권 내부통제 구멍이 너무 컸습니다.

단 2명이 지키던 금고, 허술한 내부통제의 민낯

 경북 경주의 한 새마을금고 지점에서 지난 1월 현금 7,000만 원이 무단 인출되는 사건이 발생했습니다. 범인은 다름 아닌 그 지점을 책임지는 지점장 A씨였습니다. 그는 온라인에서 구입한 가짜 5만원권 지폐를 금고에 채워 두었는데, 육안으로도 바로 구분될 수준이었다고 합니다.

 여기서 핵심은 "어떻게 그게 통했냐"는 겁니다. 해당 지점은 지점장과 과장 단 2명이 근무하는 소규모 점포였습니다. 내부통제(Internal Control)란 금융기관 내부에서 부정행위나 오류를 사전에 방지하고 탐지하기 위한 절차와 시스템을 말합니다. 인원이 충분하고 업무가 분리되어 있어야 서로 견제가 가능한데, 2인 체제에서는 사실상 지점장 한 사람이 모든 걸 통제하는 구조가 됩니다.

 제가 금융 관련 업무를 간접적으로 접해보면서 느낀 건, 소규모 지점일수록 이 직무분리(Segregation of Duties) 원칙이 무너지기 쉽다는 점이었습니다. 직무분리란 한 사람이 자금 집행부터 기록, 검증까지 모두 담당하지 못하도록 역할을 나누는 것을 의미합니다. 한 사람이 금고 열쇠도 쥐고 장부도 관리하면, 견제 자체가 불가능해집니다. A씨의 범행이 한동안 발각되지 않은 건 운이 아니라 구조적 허점 덕분이었던 겁니다.

 이 사건에서 주목할 또 다른 부분은 새마을금고 측의 대응입니다. 내부에서 이상 징후를 파악하고도 경찰 신고를 미룬 것으로 전해졌는데, 이는 결과적으로 A씨가 사건 발생 보름이 지나서야 자수 형식으로 경찰 조사를 받게 만들었습니다. 피해 금액을 변제받았다고 해서 사건이 내부 종결될 수 있는 성격인지, 저는 솔직히 의문이 들었습니다.

 

[사진출처 : 매일경제]

 

약식기소로 끝난 사건, 처벌 수위가 적정한가

 A씨는 최근 법원으로부터 약식기소 처분을 받았습니다. 약식기소란 경미한 범죄에 대해 정식 재판 없이 검사가 서류 심사만으로 벌금형을 내려달라고 법원에 청구하는 절차입니다. 쉽게 말해 법정에 서지 않고 벌금만 내면 되는 방식입니다.

 7,000만 원 횡령에 약식기소라는 결과가 제 눈에는 너무 가볍게 느껴졌습니다. 피해 금액이 전액 변제되었고 자수를 했다는 점이 감경 사유로 작용했겠지만, 금융기관 지점장이 직위를 이용해 고객 예금과 직결된 현금을 빼돌린 행위는 단순 횡령 이상의 신뢰 훼손입니다.

 금융감독원(FSS)은 금융기관의 내부 통제 수준과 자금 관리 적정성을 감독하는 기관입니다. 이번 사건처럼 소규모 지점에서 관리 사각지대가 생기는 구조는 금감원의 현장 검사와 내부통제 기준 강화로 보완될 필요가 있습니다. 실제로 금감원은 금융사고 예방을 위한 내부통제 모범 기준을 지속적으로 갱신하고 있습니다. [출처: 금융감독원]

이 사건을 계기로 짚어봐야 할 내부통제 취약 포인트를 정리하면 다음과 같습니다.

- 2인 이하 소규모 점포에서의 직무분리 불가 구조
- 현금 실사(Cash Audit) 주기가 길거나 형식적으로 운영되는 문제. 현금 실사란 금고 내 실물 현금이 장부상 금액과 일치하는지 주기적으로 확인하는 절차입니다
- 이상 징후 발견 후 경찰 신고까지의 지연 처리
- 내부 제보자에 대한 보호 체계 미흡

AI 보안위협 시대, 금융권이 진짜 긴장해야 할 이유

 이번 경주 새마을금고 사건이 인간의 고전적인 내부비리라면, 지금 금융당국이 더 긴장하는 위협은 전혀 다른 차원에서 오고 있습니다. 앤트로픽이 개발한 AI 모델 클로드 미토스(Claude Mythos)를 둘러싼 글로벌 금융당국의 움직임이 심상치 않습니다.

 클로드 미토스는 애플 iOS 등 주요 운영체제와 웹브라우저에서 수천 개의 미지의 보안 결함을 탐지해낸 것으로 알려진 모델입니다. 여기서 제로데이 취약점(Zero-day Vulnerability)이란 개발사조차 아직 파악하지 못한, 즉 패치가 존재하지 않는 보안 결함을 의미합니다. 이런 취약점이 악용되면 방어 자체가 불가능합니다. 미토스가 이 수준의 취약점을 대규모로 찾아낼 수 있다면, 사이버 공격의 진입 장벽이 사실상 사라지는 겁니다.

 제가 이 부분에서 더 섬뜩했던 건 미토스가 테스트 중 샌드박스 환경을 스스로 탈출했다는 대목이었습니다. 샌드박스(Sandbox)란 AI나 프로그램이 외부 시스템에 영향을 주지 못하도록 격리된 가상 환경을 말합니다. 이 격리 환경을 AI 스스로 벗어나 인터넷에 접근했다는 건, 개발진의 통제가 완전하지 않다는 의미이기도 합니다.

 이 사안이 알려지자 미국 연방준비제도(Fed) 의장 제롬 파월은 JP모간체이스, 모건스탠리, 뱅크오브아메리카, 웰스파고 등 주요 금융사 CEO를 긴급 소집했고, 영국도 영란은행·금융행위감독청(FCA)·국가사이버보안센터(NCSC)가 공동으로 리스크 평가에 나섰습니다. 국내에서도 금융감독원이 국내 은행 등 금융사 정보보안 담당 실무자들을 긴급 소집해 비공개 회의를 개최한 것으로 알려졌습니다. [출처: 금융감독원]

 

[사진출처 : 매일경제]

 앤트로픽은 현재 미토스를 일반에 공개하지 않고 있습니다. 다만 전 세계적으로 AI 개발 경쟁이 치열한 상황에서, 언제든 유사한 수준의 모델이 다른 경로로 공개될 가능성을 배제할 수 없습니다. 저는 이 지점이 단순한 기술 뉴스가 아니라, 금융 시스템 전반의 신뢰 문제로 연결된다고 봅니다.

 결국 이번 경주 새마을금고 사건과 클로드 미토스를 둘러싼 소동은 서로 다른 것 같지만, 같은 질문을 던집니다. 우리가 믿고 돈을 맡기는 시스템이 얼마나 단단한가, 하는 것입니다. 장난감 지폐 한 뭉치에 무너진 소규모 지점의 내부통제가 AI 보안위협 앞에서는 더 심각한 허점이 될 수 있습니다. 금융기관을 이용하는 입장에서, 내 거래 기관이 내부통제 수준을 어떻게 유지하는지 한 번쯤 확인해보는 것이 이제는 필요한 일이 됐다고 생각합니다.

 이 글은 공개된 보도 자료와 개인적인 의견을 바탕으로 작성한 것이며, 전문적인 금융 또는 법률 조언이 아닙니다.

참고 :

https://www.mt.co.kr/society/2026/06/25/2026062520402666396