K-보안 협력모델 콘퍼런스, 보이스피싱·가상자산 세탁 등 금융범죄 대응 전략 공유

핵심 요약

- 금융보안원이 2026년 7월 'K-보안 협력모델 콘퍼런스'를 개최해 보이스피싱, 가상자산 세탁 등 금융범죄 대응 전략 공유 - 금융권·보안업계·학계·수사기관이 참여한 산학연관 협력 체계 구축 방안 논의 - 실시간 위협 탐지, 이상거래 탐지(FDS), 가상자산 추적 등 기술적 대응 방안과 개인정보보호 조화 방안 제시

주요 내용

금융보안원이 2026년 7월 개최한 'K-보안 협력모델 콘퍼런스'는 급증하는 금융범죄에 대응하기 위한 민관 협력 체계를 강화하는 자리로 마련됐다. 특히 보이스피싱, 메신저 피싱, 가상자산을 이용한 자금세탁 등 지능화·고도화되는 금융범죄 수법에 대응하기 위해 금융회사, 보안 솔루션 업체, 학계, 금융감독원, 경찰청 등 다양한 이해관계자가 참여했다.

콘퍼런스에서는 이상금융거래탐지시스템(FDS)의 고도화, AI 기반 실시간 위협 탐지, 가상자산 거래 추적 기술 등이 주요 의제로 다뤄졌다. 특히 최근 급증하는 가상자산 세탁 사례에 대응하기 위해 블록체인 분석 기술과 금융정보분석원(FIU) 연계 방안이 집중 논의됐다. 금융회사들은 고객 금융정보와 거래 패턴 분석을 통한 이상거래 탐지 정확도 향상 사례를 공유했다.

한편 금융범죄 대응 과정에서 필연적으로 발생하는 개인정보 처리와 관련해, 적법한 처리 근거 확보와 최소 수집 원칙 준수의 중요성이 강조됐다. 특히 FDS 운영 시 수집되는 행동 패턴 정보, IP 주소, 접속 기기 정보 등의 처리에 있어 개인정보보호법 제15조 제1항 제6호(정당한 이익)와 제58조의2(가명정보 처리 특례) 등 법적 근거를 명확히 해야 한다는 점이 강조됐다.

또한 금융회사 간 위협 정보 공유 체계 구축 시에도 개인정보 비식별화 조치와 함께 제3자 제공에 대한 법적 근거 마련이 필수적이라는 의견이 제시됐다. 금융보안원은 향후 정기적인 협력 포럼 운영과 함께 금융범죄 대응 가이드라인을 마련해 배포할 계획이다.

전문가 시각

ISMS-P 심사 현장에서 금융회사들의 FDS 운영과 관련한 개인정보보호 이슈는 매우 민감한 영역이다. 많은 금융기관이 이상거래 탐지를 위해 고객의 거래 패턴, 접속 정보, 행동 특성 등을 분석하지만, 정작 이러한 정보 처리의 법적 근거가 명확하지 않거나 내부 정책으로 문서화되지 않은 경우가 빈번하다. 특히 가명정보 처리 특례를 적용할 때 '통계작성', '과학적 연구', '공익적 기록보존' 목적에 해당하는지 면밀히 검토해야 하며, FDS의 경우 주로 '정당한 이익'(제15조 제1항 제6호) 근거를 활용하되 이익형량 테스트를 문서화해야 한다.

금융범죄 대응을 위한 정보 공유 체계 구축 시에는 개인정보 처리 단계별로 적법성을 확보해야 한다. 금융회사 간 위협정보 공유 시 해시값, IP 대역 등으로 비식별화된 정보를 활용하거나, 금융실명법 제4조의2(금융거래정보 등의 제공), 특정금융정보법 제7조(금융정보분석원의 정보 제공) 등 개별법상 근거를 명확히 해야 한다. 또한 AI 기반 이상거래 탐지 모델 학습 시 자동화된 의사결정(개인정보보호법 제37조의2)에 해당할 수 있어 정보주체의 권리 보장 방안도 함께 마련해야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집·이용 적법성 (ISMS-P 2.4.1, 개인정보보호법 제15조)
- FDS 운영 목적의 행동 패턴 정보, 접속 정보(IP, 기기정보 등) 수집 시 법적 근거 명확화 여부
- '정당한 이익'(제15조 제1항 제6호) 적용 시 이익형량 테스트 수행 및 문서화 여부
- 개인정보 처리방침 및 수집·이용 동의서에 FDS 운영 목적이 구체적으로 명시되어 있는지 확인
- 가명정보 처리 시 제58조의2의 목적(통계, 연구 등) 부합성 검토 기록 확인

2. 제3자 제공 및 정보 공유 통제 (ISMS-P 2.4.3, 개인정보보호법 제17조, 제18조)
- 금융회사 간 위협정보 공유 체계 운영 시 제3자 제공 법적 근거 확보 여부
- 비식별화·가명처리된 정보 공유 시에도 재식별 위험성 평가 수행 여부
- 금융정보분석원(FIU), 수사기관 등 제공 시 특정금융정보법 등 개별법 근거 준수 확인
- 정보 공유 시 접근권한 관리, 암호화, 전송 기록 관리 등 기술적 보호조치 이행 여부

3. 자동화 의사결정 및 프로파일링 통제 (ISMS-P 2.8.5, 개인정보보호법 제37조의2)
- AI 기반 FDS의 자동화된 이상거래 탐지·차단이 '정보주체에게 법적 효과를 발생시키거나 중대한 영향'을 미치는지 판단
- 자동화 의사결정 거부권, 설명 요구권 등 정보주체 권리 보장 방안 마련 여부
- 알고리즘의 투명성 확보 및 편향성 검증 절차 수립 여부

CPPG·ISMS-P 연계 포인트

1. 정당한 이익에 의한 개인정보 처리 (개인정보보호법 제15조 제1항 제6호)
정보주체의 동의 없이도 개인정보처리자의 정당한 이익 달성을 위해 필요한 경우 개인정보를 처리할 수 있으나, ①정보주체의 이익이 부당하게 침해받지 않고 ②필요 최소한의 범위에서 처리되며 ③이익형량 테스트를 통해 처리자의 이익이 정보주체의 이익보다 우월함을 입증해야 한다. FDS 운영은 금융사기 예방이라는 정당한 이익에 해당하나, 수집 항목·범위·보유기간을 최소화하고 이익형량 결과를 문서화해야 한다.

2. 가명정보 처리 특례 (개인정보보호법 제58조의2)
통계작성, 과학적 연구, 공익적 기록보존 등의 목적으로는 정보주체 동의 없이 가명정보를 처리할 수 있다. 다만 ①가명처리 적정성 평가 수행, ②원래 목적과 합리적 관련성 범위 내 처리, ③특정 개인을 알아보기 위한 목적의 재식별 금지, ④안전성 확보조치 강화가 필수 요건이다. 금융범죄 패턴 분석을 위한 빅데이터 분석 시 가명정보 활용이 가능하나, FDS의 실시간 거래 차단은 '통계·연구' 목적에 해당하지 않아 별도 법적 근거가 필요하다.