금융기관 해킹, 중수청 통보 여부를 가르는 기준은?

경찰은 2026년 10월 6일 금융기관 해킹 사건을 정보통신망법 위반 혐의로 입건해 정식 수사로 전환했다고 밝혔다.

당시 중수청 통보 여부는 확정되지 않았다.

피해 기관이 국가핵심기반인지와 침해된 시스템이 전자금융기반시설인지, 서로 다른 기준을 따져야 하기 때문이다.

중수청 통보 대상인 사이버범죄에는 국가핵심기반 해킹 등에 따른 정보통신망법 위반과 전자금융기반시설 해킹 등에 따른 전자금융거래법 위반이 포함된다.

다른 수사기관이 수사 과정에서 중대범죄를 인지하면 중수청장에게 즉시 통보하도록 한 기준이다.

따라서 금융기관에서 해킹이 발생했다는 사실만으로 통보 대상이 되는 것은 아니다.

국가핵심기반은 국가 경제와 국민의 안전·건강, 정부 핵심 기능에 중대한 영향을 미칠 수 있는 시설·정보기술시스템·자산을 뜻한다.

연합뉴스 보도에 따르면 2026년 6월 기준 금융 분야에서는 한국은행 경기IT센터, 한국산업은행, 중소기업은행 등 8개 기관의 9개 시설이 지정돼 있었다.

금융 분야 기관이라고 해서 모두 국가핵심기반으로 지정된 것은 아니다.

이번 사건에서 경찰은 피해 금융기관 자체가 국가핵심기반에 해당하지 않는다고 판단했다.

그러므로 국가핵심기반 해킹에 따른 정보통신망법 위반 유형은 통보 대상이 아니라는 설명이다.

다만 실제로 침해된 시스템이 전자금융기반시설이라면 전자금융거래법 위반 유형으로 통보 대상이 될 수 있어, 기관의 지정 여부와 시스템의 성격을 따로 확인해야 한다.

경찰은 해킹이 발생한 10월 1일 입건 전 조사에 착수한 뒤 사실관계를 확인해 정식 수사로 전환했고, 침해 시스템이 전자금융기반시설인지 금융위원회에 유권해석을 의뢰했다.

이 판단에 따라 적용될 수 있는 통보 기준이 달라지므로, 의뢰 결과가 통보 여부를 가를 쟁점이다.

전담수사는 사이버테러수사대가 맡았으며 4개 팀 28명이 투입됐다.