경찰, 금융권 연쇄 해킹에 전자금융거래법 혐의 추가해 중수청 통보키로…사건을 가져갈지는 중수청 판단에

통보는 했지만, 사건을 넘긴 것은 아니다

통보는 사건을 넘기는 일이 아니다. 중수청은 서면 통보를 받은 날부터 원칙적으로 7일 안에 직접 수사할지 회신해야 한다. 직접 수사하는 것이 적절하다고 판단할 때에만 경찰에 사건 이첩을 요청한다. 그 전까지 수사는 경찰이 계속한다. 20일의 결정은 이 사건을 누가 맡을지 정하는 절차를 시작한 것이고, 판단은 이제 중수청으로 넘어갔다. 다만 실제 통보가 언제 이뤄졌는지는 분명하지 않다. 20일 저녁 노컷뉴스는 '통보했다'고 썼고, MBC 등은 '통보할 예정'이라고 전했다. 중수청의 7일 기한이 언제 시작되는지는 아직 공개되지 않았다.

새 체계에서 처음 맞는 대형 사이버 사건

통보가 따로 뉴스가 되는 것은 이 절차가 생긴 지 3주도 되지 않았기 때문이다. 10월 2일 검찰청이 폐지되면서 행정안전부 소속 수사기관인 중수청이 출범했다. 중수청은 부패·경제·방위사업·마약·국가보호·사이버범죄·법왜곡죄 등 법이 정한 일곱 분야의 중대범죄를 수사한다. 그런데 경찰도 이 범죄들을 수사할 수 있어 두 기관의 일이 겹친다. 그래서 중수청법은 다른 수사기관이 대상 범죄를 알게 되면 즉시 중수청에 통보하도록 했다. 중수청이 이첩을 요청하면 정당한 사유 없이 거부할 수 없다는 조항도 두었다.

금융권 연쇄 해킹은 이 절차가 처음 맞는 대형 사건이다. 9월 27일부터 KB국민은행·신한은행·하나은행 같은 은행과 저축은행·캐피털사, 온라인투자연계금융업체(P2P 대출 중개업체)의 업무 시스템이 잇따라 뚫렸다. 금융위원회는 10월 14일 16개 금융회사에서 침해사고가 확인됐고 정보 유출은 약 10만 건이라고 밝혔다. 사고들이 서로 연관됐는지, 같은 공격자의 소행인지, AI가 쓰였는지는 조사 중이라고 했다. 한겨레는 경찰이 정식 수사를 시작할 때 이 사건을 형사사법체계 개편 이후 경찰이 맡은 첫 대형 사이버 사건이라고 불렀다.

19일이 걸린 이유: 내부 업무 시스템도 '전자금융기반시설'인가

해킹이라고 모두 중수청의 수사 대상은 아니다. 사이버범죄 가운데 경찰이 중수청에 통보해야 하는 것은 크게 두 가지다. 하나는 마비되면 국가 기능에 중대한 영향을 주는 '국가핵심기반'을 해킹해 정보통신망법을 어긴 경우다. 다른 하나는 '전자금융기반시설'을 침해해 전자금융거래법을 어긴 경우다. 경찰은 정식 수사 전환을 공개한 10월 6일, 피해 금융회사들이 국가핵심기반에는 해당하지 않는다고 판단했다. 남은 길은 두 번째였다.

여기서 쟁점이 된 것이 공격받은 시스템의 성격이다. 전자금융거래법은 전자금융기반시설을 전자금융거래에 이용되는 정보처리시스템과 정보통신망으로 정의한다. 그런데 이번 공격의 상당수는 고객이 돈을 보내고 받는 뱅킹 시스템이 아니라 금융회사의 내부 업무용 시스템을 겨냥했다. 신한은행에서 뚫린 곳도 대출모집인이 쓰는 간편조회 서비스였다. 경찰은 이런 시스템도 전자금융기반시설로 볼 수 있는지 금융위에 유권해석을 요청했다. 금융위는 10월 7일 검토해 회신하겠다고 했다. 이후 국수본에 보낸 답은 해당 시스템이 전자금융기반시설에 해당할 가능성이 있다는 것이었다.

이 답은 금융위의 기존 해석과 같은 방향이다. 금융위는 2020년 한 질의에 대한 회신에서 전자금융기반시설이 송금·이체를 처리하는 부분에 한정되지 않는다고 했다. 금융상품 제공에 수반되거나 밀접한 관련이 있는 정보를 처리하는 시스템 부분도 포함된다는 것이다. 다만 이 기준을 적용하려면 시스템마다 실제로 어떤 금융서비스와 연결돼 있는지 따져야 한다. 금융위가 이번에 '해당한다'고 단정하지 않고 '가능성'이라고 답한 것도 시스템별 확인이 남아 있다는 뜻으로 읽힌다. 경찰은 그 가능성을 근거로 통보를 택했다. 확정되지 않은 쟁점을 혼자 안고 있기보다, 직접 수사 여부를 판단할 권한이 있는 중수청 앞에 사건을 올려놓은 것이다.

'수사 공백'이라는 비판은 근거가 약하다

통보까지 걸린 19일을 두고는 비판이 나왔다. 서울신문은 10월 5일, 경찰이 입건 전 조사만 이어 가며 중수청에 통보하지 않았다고 지적했다. 그리고 이를 근거로 기관 간 역할 분담이 수사를 지연시켜 공백이 생겼다고 해석했다. 같은 기사에서 정보보안 연구자인 임강빈 순천향대 교수는 시간이 지나면 서버 로그(접속·작업 기록)가 사라지거나 다른 기록으로 덮일 위험이 있다고 설명했다. 경찰은 10월 9일 설명자료에서 이첩 전까지는 경찰이 모든 수사를 하므로 관할 혼선이나 수사 공백은 생길 수 없다고 반박했다.

기록은 경찰의 설명 쪽에 더 가깝다. 경찰은 첫 보도가 나온 10월 1일 입건 전 조사에 착수해 피해 금융회사들로부터 로그를 제출받았다. 5일에는 정식 수사로 전환했고, 7일에는 디지털포렌식·국제공조 인력을 보태 전담수사팀을 28명에서 43명으로 늘렸다. 비판이 걱정한 로그 확보는 첫날부터 시작된 셈이다. 비판은 '통보가 늦었다'는 것과 '수사가 늦었다'는 것을 같은 일로 다뤘지만, 통보를 기다리는 동안에도 수사는 경찰 손에서 진행됐다. 통보 의무도 이 사건이 중수청 대상 범죄라고 판단할 수 있어야 생긴다. 그 판단에는 소관 부처인 금융위의 해석이 필요했고, 금융위조차 '가능성'으로 답했다. 관할 검토 때문에 증거를 놓치거나 추적이 끊겼다는 구체적 사례가 나온다면 이 평가는 달라져야 한다. 그러나 지금까지 그런 사례는 보도되지 않았다.

이제 판단은 중수청의 몫이다

경찰 쪽 절차에 문제가 없었다면, 남은 질문은 중수청이 이 사건을 가져갈지다. 알려진 기록으로는 중수청이 아직 경찰 사건을 넘겨받아 수사한 적이 없다. 경찰은 출범 직후 9일 동안(10월 2~10일) 중수청에 459건을 통보했다. 그러나 10월 8일 기준 이첩 요구와 실제 이첩은 모두 0건이었고, 10월 12일 보도 기준으로 실제 수사에 착수한 사건도 없었다. 같은 보도는 자체 형사사법정보시스템의 사건 처리 기능이 12월에야 열려 직원들이 기록을 손으로 처리하고 있다고 전했다. 10월 9일 기준으로는 본청 과장급 24자리 가운데 16자리가 비어 있었다. 초대 청장인 검사 출신 김지용은 출범 2주 만인 10월 15일에야 임명됐다. 그는 하루 전 인사청문회에서 전산의 사건 처리 기능이 부족하다는 점을 인정했다. 다만 종이 기록으로 당장 사건을 처리하는 데 큰 문제는 없다고 말했다.

그렇다고 중수청이 이 사건에서 물러서 있었던 것은 아니다. 중수청 관계자는 금융기관 해킹이 수사할 수 있는 범죄라고 했다. 금융범죄를 맡는 서울중수청의 금융범죄수사국·첨단수사국 정원은 267명이다.

중수청이 무엇을 기준으로 판단할지는 시행령이 정해 두었다. 시행령 제20조는 직접 수사가 적절한지 판단할 때 네 가지를 고려하도록 한다. 사건의 중대성, 수사의 진행 정도와 기간, 공정성 논란, 공소시효 임박 여부다. 경찰은 자료를 내면서 이첩하지 않을 정당한 사유가 있다는 의견을 붙일 수 있다. 이 사건에서는 앞의 두 기준이 반대 방향을 가리킨다. 16개 금융회사가 뚫린 사건의 중대성은 중수청이 맡을 이유가 된다. 반면 경찰이 3주 가까이 수사팀을 꾸려 로그를 분석하고 공격 서버 차단을 위한 국제공조를 진행해 온 '진행 정도'는 지금의 수사팀에 맡겨 둘 이유가 된다.

중수청의 7일이 보여 줄 것

경찰의 통보는 법이 정한 순서를 따른 것이다. 그 과정에서 수사가 멈췄다는 비판은 지금까지의 기록으로는 뒷받침되지 않는다. 이 뉴스의 무게는 오히려 그다음에 있다. 출범 뒤 한 건도 이첩받지 않은 중수청이 내놓을 답은 하나의 첫 사례가 된다. 검찰청 폐지 뒤 새로 짠 수사 체계가 큰 사건 앞에서 실제로 역할을 어떻게 나누는지 보여 주는 사례다. 중수청이 사건을 가져간다면, 인력과 전산이 모자란 조직이 3주 동안 쌓인 경찰 수사를 끊김 없이 이어받을 수 있는지가 다음 질문이다. 가져가지 않는다면, 출범 뒤 맞은 가장 큰 사이버 사건을 경찰에 맡기는 판단이 중대성과 진행 정도를 어떻게 저울질한 결과인지가 다음 질문이다.