금융기관 해킹, 중수청 통보 여부를 가르는 시스템 조건은?

금융기관을 해킹했다고 해서 곧바로 중수청 통보 대상이 되는 것은 아니다. 경찰은 2026년 10월 6일 해킹 사건을 정보통신망법 위반 혐의로 정식 수사한다고 밝히면서도, 피해 시스템의 성격에 따라 통보 여부가 달라질 수 있다고 설명했다.

판단 기준은 크게 두 갈래다. 국가핵심기반을 해킹해 정보통신망법 위반 혐의가 적용되는 경우, 또는 전자금융기반시설을 해킹해 전자금융거래법 위반 혐의가 적용되는 경우가 중수청 통보 대상 사이버범죄에 포함된다. 다른 수사기관이 수사 중 중대범죄를 인지하면 중수청장에게 통보하도록 한 기준에 따른 것이다.

국가핵심기반은 국가 경제와 국민의 안전·건강, 정부의 핵심 기능에 중대한 영향을 미칠 수 있는 시설과 정보기술시스템, 자산을 뜻한다. 연합뉴스가 전한 2026년 6월 기준 금융 분야 지정 현황은 8개 기관의 9개 시설이다. 한국은행 경기IT센터, 금융결제원, 한국거래소 등이 포함된다. 금융회사라는 이유만으로 기관이나 그 시스템이 자동으로 국가핵심기반에 해당하는 것은 아니다.

이번 사건에서 경찰은 피해 금융기관 자체가 국가핵심기반에 해당하지 않는다고 판단했다. 따라서 국가핵심기반 해킹에 따른 정보통신망법 위반이라는 첫 번째 기준으로는 통보 대상이 아니다. 여기서 관건은 금융회사라는 이름이 아니라, 실제 침해된 시스템이 어떤 법적 시설로 분류되는지다.

경찰은 해당 시스템이 전자금융기반시설인지 금융위원회에 유권해석을 의뢰했다. 그 시설로 확인되면 전자금융거래법 위반 사건으로 중수청 통보 대상이 될 수 있어, 경찰이 통보 여부를 검토 중이라고 밝힌 것이다. 즉 10월 6일 발표 시점에는 시설 해당 여부가 판단의 분기점으로 남아 있었다.

한편 경찰은 해킹이 발생한 10월 1일 입건 전 조사에 착수했고, 객관적 사실관계를 확인한 뒤 정식 수사로 전환했다. 사이버테러수사대가 전담수사팀을 맡아 4개 팀, 28명을 투입했다. 수사 개시와 중수청 통보는 별개의 절차여서, 정식 수사에 들어갔다는 사실만으로 통보 대상 여부가 확정되는 것은 아니다.