가상자산사업자, 해킹 인지 즉시 금감원·금융보안원에도 통보 — 11월 가이드라인

금융위원회가 11월 5일 금융보안원 여의도 분원에서 열린 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'에서 보안체계 혁신방안을 내놨다. 핵심은 가상자산사업자가 침해사고를 인지하면 즉시 금융감독원·금융보안원에 알리도록 하는 가이드라인을 11월 중 마련한다는 것이다. 통보해야 할 내용으로는 사고를 인지한 시점, 사고 내용, 예상 피해 유형과 규모가 제시됐다.

왜 지금 바뀌는가. 가상자산사업자는 전자금융거래법 적용 대상이 아니어서, 사고가 나면 정보통신망법에 따라 한국인터넷진흥원(KISA)에 신고하는 구조였다. 금융당국은 가상자산업권과 다른 금융업권의 연계가 밀접해진 만큼 사고조사·정보공유·소비자 보호를 위해 금융당국 쪽에도 상황이 빨리 전달돼야 한다고 봤다. 가이드라인이 적용되면 KISA 신고에 더해 금감원·금융보안원 통보가 함께 이뤄진다.

단계가 다른 두 가지를 구분할 필요가 있다. 가이드라인은 11월 마련이고, 보안규제 자체를 전자금융거래법 준하는 수준으로 끌어올리는 '디지털금융안전법'은 가상자산사업자·보험대리점(GA)·대부업 등을 대상으로 구상 중인 단계다. 관계기관 의견수렴을 거쳐 2027년 1분기 중 법안 마련과 발의를 추진한다는 계획이어서, 아직 국회 통과나 시행이 정해진 사안은 아니다. 별도로 가상자산사업자를 포함한 전 금융권 약 580개사 보안 전수점검도 진행된다. 홈페이지·API·직원관리 및 내부업무 시스템 등 외부 접근이 가능한 영역과 내부통제체계가 대상으로, 관리대장에 등록된 외부접점은 11월 말까지, 미등록 시스템과 내부통제체계는 12월 말까지 점검을 마친다.

이용자가 볼 지점은 사고 통보가 '규제기관 간 공유'를 늘리는 것이지, 개인에게 자동으로 알림이 온다는 뜻은 아니라는 점이다. 금융당국에 따르면 9월 30일부터 11월 3일까지 금융권 37개사에서 40건의 침해사고가 신고됐고 이 중 가상자산업권은 3개사다. 일부 소규모 디지털자산거래소와 전자금융업자, 온라인투자연계금융업자에서는 회사가 관리하는 자금이 탈취된 사고도 있었으며 이들 업권의 자금탈취 신고 규모는 약 10억원이다. 규모가 작은 거래소에 자산을 두고 있다면 공지 채널과 사고 시 안내 방식을 미리 확인해 두는 편이 낫다.