금융기관 해킹 중수청 통보, 검토에서 결정까지 무엇을 따졌나

금융기관 해킹 사건의 중수청 통보 여부는 해킹된 곳이 금융기관이라는 사실만으로 정해지지 않았다.

경찰은 침해된 시스템이 어떤 시설인지, 어떤 법률 위반 혐의를 적용할 수 있는지를 살펴본 뒤 2026년 10월 20일 사건을 중대범죄로 판단해 중수청에 통보하기로 했다.

10월 6일 보도 당시 경찰은 금융기관 AI 해킹 사건을 중수청에 통보할지 검토하고 있었다.

쟁점은 해킹 피해 시스템이 전자금융기반시설에 해당하는지였다. 경찰은 이 판단을 위해 금융위원회에 유권해석을 요청했다.

피해 금융기관 자체는 국가핵심기반에 해당하지 않는다고 봤지만, 기관의 지위와 침해된 시스템의 성격은 별도로 따져야 했다.

경찰이 설명한 기준에 따르면 해킹 대상이 전자금융기반시설로 확인될 경우 전자금융거래법 위반 혐의가 적용돼 중수청 통보 대상이 된다.

사이버범죄 가운데 국가핵심기반 해킹에 따른 정보통신망법 위반도 통보 대상에 포함된다.

따라서 이번 검토에서는 금융기관 해킹이라는 명칭보다 침해 대상의 법적 성격과 적용 가능한 혐의가 중요했다.

10월 20일 경찰청 국가수사본부는 금융위원회의 유권해석과 피해 업체 의견 등을 종합해 이번 사건을 중대범죄로 판단했다고 밝혔다.

이에 따라 중수청에 통보하기로 했다는 발표이며, 실제 통보가 완료됐다고 확인한 것은 아니다.

경찰은 중대범죄 사건을 인지하면 중수청에 알려야 하고, 중수청이 이첩을 요구하면 사건을 넘겨야 한다고 설명했다.

보도된 사건 규모는 신한은행을 시작으로 7개 금융사가 공격받았고 개인정보 6만 명 이상이 유출된 것으로 나타났다.

경찰 전담수사팀은 4개 팀, 28명으로 구성됐다.

이 수치들은 사건과 수사 체계를 보여주지만, 경찰이 밝힌 통보 판단의 근거는 금융위원회 해석과 피해 업체 의견, 적용 혐의였다.