경찰이 최근 발생한 금융기관 해킹 사건을 정보통신망법 위반 혐의로 입건하고 정식 수사에 들어갔다. 경찰청 국가수사본부는 2026년 10월 6일, 객관적인 사실관계를 확인한 뒤 수사 단계로 전환했다고 밝혔다. 사이버테러수사대를 전담수사팀으로 지정하고, 사이버테러대응과장을 팀장으로 하는 4개 팀 28명을 투입했다. 수사와 함께 침해된 시스템의 법적 분류가 중대범죄수사청(중수청) 통보 대상인지도 검토하고 있다.

배경과 맥락

경찰은 10월 2일부터 입건 전 조사(정식 입건 전 사실관계를 살피는 절차)를 진행해 왔다. 이후 사건을 정보통신망법 위반 혐의로 입건했지만, 이는 수사 대상으로 정식 전환했다는 뜻이지 범죄 사실이나 피의자의 책임이 확정됐다는 의미는 아니다.

이번 사안에서 중수청 통보 여부는 피해 금융기관이 금융회사인지 여부만으로 정해지는 것이 아니다. 보도에 따르면 통보 대상 사이버 범죄에는 국가핵심기반 해킹 등에 따른 정보통신망법 위반과 전자금융기반시설 해킹 등에 따른 전자금융거래법 위반이 포함된다. 경찰은 피해 금융기관 자체는 국가핵심기반에 해당하지 않더라도, 침해된 시스템이 전자금융기반시설이면 통보 대상이 될 수 있다고 보고 있다.

따라서 금융위원회에 의뢰한 유권해석(법령이나 제도의 적용에 관해 관계 기관이 내놓는 공식 해석)이 중요한 분기점이다. 시스템이 어떤 시설에 해당하는지 판단돼야 통보 대상 여부를 가릴 수 있기 때문이다. 다만 현재 확인된 내용은 경찰이 금융위에 해석을 의뢰했다는 단계까지다. 그 결과가 나왔거나 중수청 통보가 결정됐다는 뜻은 아니다.

이 소식이 뜻하는 것

이번 수사의 초점은 해킹 행위의 사실관계 확인과 함께, 침해 대상 시스템이 어떤 법적 범주에 놓이는지를 가리는 데에도 있다. 시스템의 분류에 따라 적용될 수 있는 법적 경로와 관계기관 간 대응 방식이 달라질 수 있다는 점에서 주목된다. 다만 보도된 내용만으로 중수청이 실제 수사를 맡게 되는지, 또는 통보 뒤 수사 절차가 어떻게 이어질지는 알 수 없다.

금융회사 고객에게는 피해 여부와 범위를 확인하는 일이 중요할 수 있다. 다른 보도에서는 여러 금융회사에 대한 정보 유출과 고객 영향 가능성이 언급됐지만, 그 보도에 나온 범위가 경찰이 정식 수사로 전환한 사건과 일치하는지는 확인되지 않았다. 예를 들어 이번 사건의 대상 금융회사 고객이라면, 관련 금융회사가 피해 여부나 보호 조치를 별도로 안내하는지 확인하는 것이 유용할 수 있다. 이는 피해가 확인됐다는 뜻이 아니라, 현재 보도에서 사건별 범위가 명확히 구분되지 않은 데 따른 확인 사항이다.

수사팀 규모만으로 수사 결과나 피해 회복을 예단할 수는 없다. 경찰은 관계기관과 협력해 신속하고 엄정하게 수사하겠다고 밝혔으며, 실제로는 침해된 시스템의 확인과 금융위 해석, 수사 과정에서 확보되는 사실관계가 이후 판단에 영향을 줄 수 있다.

관련 제도·지원 정보

사내 법률 가이드 L1은 정보통신망법상 침입 여부를 따질 때 아이디와 비밀번호를 알고 있거나 과거에 사용 허락을 받았다는 사실만으로 현재의 정당한 접근 권한이 인정되는 것은 아니라고 설명한다. 서비스 제공자가 부여한 권한과 그 권한이 현재도 유효한지 등 구체적 사정을 살펴야 한다. 이는 이번 사건의 침해 시스템이나 접근 방식이 확인됐다는 뜻은 아니며, 경찰의 혐의 판단을 대신하지도 않는다.

따라서 이번 사안에서는 ‘금융회사 시스템에 접근했다’는 사실만으로 적용 법률이나 책임을 단정하기보다, 어떤 시스템에 어떤 권한으로 접근했는지와 그 시스템이 전자금융기반시설에 해당하는지를 확인해야 한다. L1도 법률 판단은 구체적인 사실관계와 현재 적용되는 법령을 확인해야 한다고 주의를 당부한다. 이 자료에는 금융기관 해킹 피해자가 신청할 수 있는 별도 지원사업이나 신청 기한은 제시돼 있지 않다.

보도마다 다르게 전한 점

경찰 수사 착수를 다룬 보도는 혐의 입건과 28명 전담수사팀, 중수청 통보 검토, 금융위 유권해석 의뢰를 전했다. 한편 다른 보도는 금융회사 7곳에서 정보 유출이 보고됐고 6만7000명 이상이 영향을 받았을 가능성을 제시했다. 또 다른 보도에는 신한은행 해킹에 쓰인 IP 일부가 토스뱅크 서버에도 접근을 시도했으나 차단됐다는 내용이 있다.

이 보도들은 금융권에서 보고된 해킹·접근 시도 전반을 다루지만, 각 보도의 피해 기관·인원·접근 시도가 경찰이 입건한 사건과 어느 범위까지 겹치는지는 제시된 근거만으로 확인되지 않는다. 그러므로 다른 보도의 숫자를 이번 경찰 수사 사건의 확정 피해 규모로 읽어서는 안 된다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 경찰은 10월 2일부터 입건 전 조사를 했고, 10월 6일 정보통신망법 위반 혐의로 입건해 정식 수사로 전환했다.
  • 경찰청 사이버테러수사대가 전담수사팀으로 지정됐으며, 4개 팀 총 28명으로 구성됐다.
  • 경찰은 침해 시스템이 전자금융기반시설인지 금융위원회에 유권해석을 의뢰했다.
  • 중수청 통보 대상 여부는 검토 중이며, 통보가 결정됐다는 사실은 확인되지 않았다.

아직 알 수 없는 것

  • 해킹의 구체적인 발생 경위와 침해된 시스템이 무엇인지.
  • 경찰 수사 대상과 다른 보도에서 언급된 금융회사 및 피해 규모가 어느 범위까지 같은지.
  • 공격 주체가 누구인지, 금융위원회가 전자금융기반시설 해당 여부를 어떻게 판단할지.
  • 중수청 통보 여부와 이후 수사 절차가 어떻게 정해질지.

독자가 확인할 것

  • 해당 금융회사의 공지에서 본인의 피해 여부와 안내 내용을 확인한다. 다른 보도의 피해 숫자가 경찰 사건과 같은 범위라고 단정하지 않는다.
  • 해킹이나 개인정보 유출을 내세운 연락을 받으면, 사실 여부를 금융회사의 공식 안내를 통해 확인한다. 이 안내는 현재 2차 피해가 발생했다는 뜻이 아니라, 사건 범위가 더 확인돼야 한다는 점을 고려한 예방적 확인이다.
  • 수사 진행 상황에서는 금융위의 시스템 분류 해석과 경찰의 중수청 통보 결정 여부를 구분해 살핀다. 유권해석 의뢰와 통보 검토는 각각 판단이 끝났다는 뜻이 아니다.

참고 자료