금융권 해킹, '중대범죄'로 분류되다
경찰이 최근 잇따른 금융권 해킹 사건을 중대범죄로 판단하고 중대범죄수사청(중수청)에 통보하기로 했습니다. 경찰청 국가수사본부는 20일 기존 정보통신망법 위반 혐의에 전자금융거래법 위반 혐의를 추가해 사건을 중수청에 넘긴다고 밝혔는데요. 해킹 대상이 전자금융기반시설에 해당한다면 전자금융거래법 위반이 적용돼 중수청 수사 대상이 된다는 판단입니다.
이번 결정의 핵심은 금융위원회의 유권해석이었습니다. 경찰은 피해 시스템이 국가핵심기반에는 해당하지 않는다고 봤지만, 전자금융기반시설 여부는 금융당국의 해석이 필요하다고 판단해 금융위에 판단을 요청했죠. 금융위는 해당 시스템이 전자금융기반시설에 해당할 가능성이 높다는 취지로 회신했습니다. 다만 단정적 결론은 아니어서, 최종 통보 여부는 경찰의 판단 몫으로 남았습니다.
드러난 피해 규모
배경을 보면 사안의 무게감이 더 분명해집니다. 금융위원회 점검 결과 은행과 저축은행, 여신전문금융회사, 가상자산사업자 등 16개 금융회사에서 침해사고가 확인됐는데요. 유출된 개인정보는 성명과 연락처, 주민등록번호, 이메일 등 약 10만 건에 달합니다. 신한과 KB국민, 하나, BNK부산 등 주요 은행이 이름을 올렸고, 온투업체 2곳에서는 은행권보다 먼저 1만 9천 명 규모의 정보가 새나간 정황도 포착됐습니다.
보안 관리 실태도 도마에 올랐습니다. 금융당국이 긴급 점검한 555개 금융사 가운데 130개사에서 보안 패치 미적용 같은 미흡한 점이 발견됐죠. 국회 국정감사에서도 저축은행의 해킹 취약성이 지적되면서 차세대 전산망 보안 강화 요구가 커지는 상황입니다.
수사 주체를 둘러싼 쟁점
절차를 두고 해석이 갈리는 대목도 있습니다. 중수청법에 따르면 경찰은 중대범죄를 인지하면 3일 이내에 서면으로 통보해야 하고, 중수청은 7일 이내에 수사 개시 여부를 회신해야 합니다. 다만 통보가 곧바로 이첩을 뜻하지는 않습니다. 중수청이 이첩을 요구하면 경찰이 응해야 하지만, 요구가 없으면 경찰이 계속 수사를 이어갈 수 있습니다.
경찰은 이미 이달 초 정식 수사에 착수해 사이버테러수사대 28명에 디지털포렌식과 국제공조 인력 15명을 더한 43명 규모의 전담팀을 꾸렸습니다. 공격 서버 차단을 위한 국제공조와 피해 시스템 분석을 동시에 진행 중입니다. 갓 출범한 중수청이 사건을 직접 맡을지, 경찰이 수사를 이어갈지는 앞으로의 회신에 달려 있습니다.