금융회사 해킹사고 대응: 신고·고객통지·위탁계약 점검사항

[금융회사에서 해킹 흔적이 발견됐다면, 조사가 끝날 때까지 신고와 고객 안내를 기다려도 될까요?]

보안업체가 비정상 접속을 발견했다는 연락을 보내면 회사는 서비스 차단, 로그 보존, 고객 안내를 동시에 검토하게 됩니다. 이때 “피해가 확정된 뒤에 보고한다”거나 “외주업체가 처리할 일”이라고 정리하면 적용 의무와 실제 대응이 어긋날 수 있습니다.

침해사고 발생, 개인정보 유출과 유출 가능성은 구별해서 판단해야 합니다. 이 글은 2026년 10월 15일을 기준으로 금융회사·전자금융업자의 신고·통지 판단과 위탁계약 점검 순서를 설명합니다. 아래 절차와 자료 목록은 실무상 권장사항이며, 사례는 이해를 돕기 위한 가정입니다.

🕒 바쁜 분들을 위한 3줄 요약

1. 의무 구분: 금융당국에 대한 침해사고 통지와 개인정보 관련 신고·정보주체 통지는 대상과 요건이 다릅니다.

2. 초기 대응: 추가 피해를 막으면서 인지 시점, 접속·반출 기록과 판단 근거를 보존해야 합니다.

3. 계약 점검: 위탁업체의 신속한 사고 연락, 자료 제공과 조사 협조를 계약과 운영 절차에 연결하세요.

1. 금융권 보안 강화 발표와 현재 의무의 구분

금융위원회는 2026년 10월 14일 관계기관 회의에서 금융권 침해사고 조사 경과와 보안 관리체계 강화 방향을 발표했습니다. 발표에는 점검·관제 개선과 함께 CEO 책임 및 제재 실효성을 높이기 위한 제도개선 추진이 포함됐습니다.

추진계획을 이미 시행된 새로운 책임 규정으로 소개해서는 안 됩니다. 회사는 현행 법령에 따른 의무를 먼저 확인하고, 발표된 개선 방향은 내부 점검과 향후 제도 변화에 대비하는 자료로 활용하는 것이 좋습니다.

[금융위원회 2026. 10. 14. 금융권 침해사고 대응 회의 발표]

2. 침해사고 통지·유출 신고·고객통지는 각각 판단합니다

전자금융거래법 제21조의5는 금융회사와 전자금융업자에게 전자적 침해행위로 전자금융기반시설이 교란·마비되는 등의 침해사고가 발생한 때 금융위원회에 지체 없이 알리고, 원인 분석과 피해 확산 방지에 필요한 조치를 하도록 정하고 있습니다.

개인정보 관련 통지·신고는 별도의 판단입니다. 정보가 누구의 것인지, 어떤 항목이 영향을 받았는지, 실제 유출인지 가능성 단계인지와 적용되는 특별법을 확인해야 합니다. 다른 기관에 신고했다는 사실만으로 모든 의무를 마쳤다고 볼 수는 없습니다.

국가법령정보센터 「전자금융거래법」 제21조의5

개인정보 보호법상 통지·신고 의무와 신용정보법 등 특별규율의 관계는 실제 정보와 처리 주체에 따라 검토해야 합니다. 전체 고객을 한꺼번에 동일한 문구로 안내하기 전에 적용 법령과 정보 유형을 나눈 의무 목록을 작성하세요.

3. 9월 시행된 유출 가능성 통지도 놓치지 마세요

2026년 9월 11일부터 시행된 개정 체계에서는 개인정보가 실제로 유출등이 된 경우 외에도 법령상 요건에 해당하는 유출 가능성에 관한 통지가 문제될 수 있습니다. 시행령은 불법 접근과 유출 의심 정황은 있으나 정보주체를 특정하기 곤란한 경우, 일부 유출이 확인되어 다른 정보주체의 정보도 유출됐을 수 있다고 인정되는 경우 등을 구체화하고 있습니다.

가능성 통지에는 시행령상 기산점부터 72시간 이내라는 기준이 적용됩니다. 모든 보안 경고가 곧 통지 대상이라는 뜻도, 전체 분석이 끝날 때까지 기다려도 된다는 뜻도 아닙니다. 정해진 요건과 기산점을 확인하고, 기한 안에 실제 유출등이 확인되면 해당 사실의 통지로 처리하는 규정도 함께 검토해야 합니다.

국가법령정보센터 「개인정보 보호법 시행령」 제39조의2·제39조의3

실제 유출등의 통지·신고도 각각 적용 요건과 기한, 예외 및 보완 절차를 확인해야 합니다. 내부 보고서에는 “조사 중”만 적기보다 어떤 사실을 언제 알았고, 어느 의무를 어떤 이유로 검토했는지를 남기는 편이 좋습니다.

법제처 찾기쉬운 생활법령정보 「개인정보 유출시의 조치방안」

4. 사고 인지 직후 법무·보안·운영 담당자가 할 일

① 인지 시점과 확인된 사실을 기록합니다

최초 경고, 보안업체 통보, 내부 확인과 고객 제보 시각을 구분하세요. 자동 탐지 시점과 담당자가 내용을 파악한 시점이 다르면 그 경위를 기록해야 합니다. 법정 기한의 기산점은 임의의 내부 보고 완료 시점으로 정할 수 없습니다.

② 추가 접근을 막으면서 원본을 보존합니다

접속 차단, 권한 회수, 패치와 서비스 중단의 필요성을 판단하되 원본 로그·백업이 사라지지 않도록 보안 담당자와 순서를 정하세요. 분석용 사본과 운영 시스템을 구분하고, 누가 언제 어떤 변경을 했는지 남기는 것이 좋습니다.

③ 의무별 담당자와 제출 내용을 정합니다

금융감독 대응, 개인정보 업무, 고객지원과 위탁업체가 같은 사건표를 사용하도록 정리하세요. 기관별 요청이 다를 수 있으므로 한 문서를 그대로 재사용하기보다 각 의무에 필요한 항목과 미확인 사항을 구분합니다.

④ 최초 안내와 후속 보완을 연결합니다

확인되지 않은 원인·피해 범위를 단정하지 않고, 현재 확인된 사실과 고객이 할 수 있는 조치, 문의 창구를 일관되게 안내하세요. 이후 조사 결과가 바뀌면 기존 발송 대상·문구와 연결해 보완 필요성을 검토합니다.

5. 위탁계약은 사고 연락부터 자료 반환까지 연결합니다

서비스 제공업체가 “영업일 기준 다음 날”에만 사고를 통보하거나 원본 로그를 짧게 보관한다면 회사의 대응 일정에 공백이 생길 수 있습니다. 계약의 법령 준수 문구만 확인하지 말고 실제 연락망·접근권한·보존 설정을 대조해야 합니다.

이 표는 협상할 항목을 정리한 것이며 모든 회사에 같은 통보 시간을 정한 법정 표준계약은 아닙니다. 회사의 신고·통지 의무에 맞춰 위탁업체의 연락 시간을 설계하고, 외주업체가 통보하더라도 회사가 직접 판단·이행해야 하는 부분을 구분해야 합니다.

사고가 났다는 사실만으로 위탁업체가 모든 비용을 부담하는 것도 아닙니다. 계약 위반, 원인과 인과관계, 책임 제한과 실제 손해를 따로 살펴야 합니다. 긴급 복구를 진행할 때도 비용 승인과 대응 경위를 남겨 두세요.

6. 가상 사례와 대응 자료

사례 ① 외주업체에서 의심 접속만 알린 경우

업체가 “다운로드 여부는 아직 모른다”고 통보했다고 가정해 보겠습니다. 회사는 해당 시스템과 처리 정보, 의심 정황·인지 시점부터 확인해야 합니다. 실제 유출 확정 전이라는 이유만으로 가능성 통지 검토를 생략하거나, 반대로 모든 고객의 정보가 유출됐다고 단정해서는 안 됩니다.

사례 ② 서비스 장애와 고객정보 침해가 함께 발견된 경우

장애 복구팀과 개인정보 담당자가 서로 다른 사건번호로 자료를 정리하면 신고 내용이 달라질 수 있습니다. 공통 사건 일지에 서비스 영향과 정보 영향을 나란히 적고, 각 기관에 제출한 사실·추정·추가 확인 항목을 구분하는 것이 좋습니다.

사례 ③ 위탁업체의 연락이 늦어졌던 경우

회사와 업체가 각각 언제 무엇을 알았는지, 계약상 연락 의무가 언제 발생했는지부터 확인합니다. 연락 지연이 있었다는 사실과 그 때문에 추가 손해가 생겼다는 사실은 따로 입증해야 합니다. 기존 계약과 연락 이력을 보존한 뒤 향후 연락 체계도 보완하세요.

검토를 준비할 때는 시스템·데이터 흐름도, 최초 경고와 이메일, 시간순 사건 일지, 원본 로그의 보존 현황, 위탁·재위탁 계약, 기존 고객 안내와 기관 제출 내역을 모으세요. 아직 없는 자료는 누락한 채 결론을 쓰기보다 확보 예정과 담당자를 표시하는 편이 좋습니다.

7. 자주 묻는 질문(FAQ)

Q1. 개인정보 유출이 확인되지 않으면 고객 안내가 필요 없나요?

실제 유출과 별도로 법령상 유출 가능성 통지 요건을 검토해야 합니다.

불법 접근의 내용, 의심 정황과 대상 정보주체 특정 가능성 등 구체적인 사실을 확인하세요.

Q2. 경찰에 신고하면 금융당국·개인정보 관련 신고도 끝나나요?

기관별 의무는 각각 확인해야 합니다.

수사 신고, 감독상 침해사고 통지와 개인정보 신고는 목적·대상·제출 내용이 같지 않습니다.

Q3. 외주업체의 사고라면 회사는 책임이 없나요?

외주라는 사정만으로 회사의 법정 의무가 없어지는 것은 아닙니다.

위탁 관리와 사고 대응 의무를 확인한 뒤 업체와의 계약상 책임을 따로 검토해야 합니다.

Q4. 10월 발표로 CEO의 새로운 책임이 즉시 시행됐나요?

추진계획과 현행 의무를 구분해야 합니다.

발표 자체를 새 처벌 규정으로 소개하지 말고 개별 법령·규정의 개정과 시행 여부를 확인하세요.

Q5. 고객에게 안내한 내용이 이후 달라지면 어떻게 하나요?

기존 안내와 조사 결과를 대조해 후속 통지·보완 필요성을 검토합니다.

최초 발송본과 대상 목록을 보존하고 변경된 사실과 미확인 사항을 구별해 일관되게 설명하세요.

8. 사고 대응의 기준은 의무와 기록을 함께 관리하는 것입니다

금융회사 해킹 대응에서는 복구, 감독기관 대응과 고객 보호가 함께 진행됩니다. 한 부서의 조사 완료를 기다리는 방식보다 적용 의무·기산점·담당자를 구분하고 같은 사실관계를 바탕으로 움직여야 합니다.

사고 대응 문서, 위탁계약과 실제 시스템 운영이 맞는지 점검하면 초기 판단의 공백과 후속 분쟁을 줄이는 데 도움이 됩니다. 지금 확인된 사실과 아직 확인하지 못한 사실을 구분한 자료에서 검토를 시작하세요.

[디센트 법률사무소 – 금융 보안사고·위탁계약 자문]

디센트 법률사무소는 금융회사·전자금융업자의 사고 대응 과정에서 신고·통지 의무, 고객 안내와 위탁계약의 협조·책임 조항을 검토합니다.

🔸 침해사고와 개인정보 신고·통지 의무 검토

🔸 고객 안내 문구·기관 제출 자료 법률 검토

🔸 위탁·재위탁 계약의 사고 통보·조사 협조 조항 점검

🔸 사고 원인과 계약 위반에 따른 비용·손해배상 검토

디센트 법률사무소 상담 안내 ☎️

[유선 문의] 02-6951-5248
[이메일] admin@decentlaw.io
[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층