「전기통신금융사기 피해 방지에 관한 규정」제정규정 고시

[첨부: (금융위원회 고시 제2026-32호) 전기통신금융사기 피해 방지에 관한 규정 제정규정 고시.hwpx] ◎ 금융위원회고시 제2026-32호 「전기통신금융사기 피해 방지에 관한 규정」 제정규정을 다음과 같이 고시합니다. 2026년 7월 24일 금융위원회 1. 제정사유 전기통신금융사기의 예방 및 피해 확산 방지에 관한 업무를 수행하기 위한 목적으로 전기통신금융사기에 관한 정보를 제공받아 분석하여 공유하는 "정보공유분석기관"의 근거 등을 마련하는 내용의 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」이 개정(법률 제21320호, 2026. 2. 3. 공포, 8. 4. 시행)됨에 따라, 해당 정보를 제공·이용하는 기관 및 공유 정보의 구체적인 항목 등 법률 및 시행령에서 위임된 사항과 그 시행에 필요한 사항을 정하고자 함 2. 주요내용 가. 전기통신금융사기에 대한 종합적인 피해방지 체계를 마련하기 위해 종전의 전기통신금융사기에 대한 대응 규정과 본인확인조치 방법에 대한 규정을 이관(제1~4조) 나. 사기정보제공·이용기관에 가상자산거래소와 한국정보통신진흥협회 등을 추가하고 가상자산 거래와 관련된 정보 공유항목을 추가 (제5조, 제7~8조) 다. 정보공유분석기관이 수립ㆍ시행하여야 할 기술적ㆍ물리적ㆍ관리적 대책과 지정 세부 요건 및 절차를 규정(제6조, 별표1,2, 별지1,2) 3. 세부 개정 내용 자세한 사항은 금융위원회 홈페이지 상의 ‘법령정보 (고시/공고/훈령)’를 참조 - 금융위원회( www.fsc.go.kr ) → 정보마당 → 법령정보(고시/공고/훈령)

[첨부: 전기통신금융사기 피해 방지에 관한 규정 제정고시안.hwpx] 금융위원회고시 제2026-호 전기통신금융사기 피해 방지에 관한 규정 제정고시안 제1조(목적) 이 규정은 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」(이하 “법”이라 한다) 및 같은 법 시행령(이하 “시행령”이라 한다)에 따라 금융위원회에 위임된 전기통신금융사기 피해 방지를 위한 세부 절차 및 기준을 정함을 목적으로 한다. 제2조(정의) 이 규정에서 사용하는 용어의 정의는 법 및 시행령이 정하는 바에 따른다. 제3조(전기통신금융사기에 대한 대응 등) ① 법 제2조의2제2항 제2호에 따라 금융회사에 대하여 개선계획의 제출을 명령할 수 있는 경우는 다음 각 호의 어느 하나에 해당하는 경우를 말한다. 1. 반기별 총 계좌수 대비 사기이용계좌 발생건수의 비율이 ｢금융위원회의 설치 등에 관한 법률｣에 따라 설립된 금융감독원의 원장(이하 “금융감독원장”이라 한다)이 정한 비율을 초과하는 경우 2. 사기이용계좌 발생건수와 피해환급금액이 최근 3개월 연속 증가한 경우 3. 그 밖에 전기통신금융사기의 빈번한 발생으로 금융회사의 건전한 영업 또는 업무를 크게 저해하여 건전 경영을 훼손하거나 금융이용자 등에게 중대한 손실을 초래하여 개선계획 제출이 필요하다고 금융위원회가 판단하는 경우 ② 법 제2조의2제2항 제1호에 따라 금융회사나 그 임직원에 대하여 제재 조치를 할 수 있는 경우는 제1항에 따른 개선계획의 제출을 명령받은 경우로서 다음 각 호의 어느 하나에 해당하는 경우를 말한다. 1. 개선계획을 제출하지 아니한 경우 2. 개선계획을 이행하지 아니한 경우 제4조(본인확인방법) 영 제2조의3제1항제3호에서 “금융위원회가 인정하여 고시하는 방법”이란 「금융실명거래 및 비밀보장에 관한 법률」 제3조제1항에 따른 실명거래의 확인방법 중 비대면 실명거래의 확인방법을 말한다. 제5조(사기정보제공기관) 영 제10조의4제3호에서 “금융위원회가 인정하여 고시하는 자”란 다음 각 호의 어느 하나에 해당하는 자를 말한다. 1. 「가상자산 이용자 보호 등에 관한 법률」 제2조제4호의 가상자산시장을 개설ㆍ운영하는 같은 조 제2호의 가상자산사업자(이하 “가상자산거래소”라 한다) 2. 「방송통신발전기본법」 제15조에 따른 한국정보통신진흥협회 제6조(정보공유분석기관 지정 등에 관한 세부사항) ① 영 제10조의5제2항에 따른 정보공유분석기관 지정 요건에 관한 세부사항은 별표 1과 같다. ② 영 제10조의5제3항 각 호 외의 부분에서 “금융위원회가 정하여 고시하는 지정신청서”란 별지 제1호서식을 말한다. ③ 금융위원회는 금융감독원장으로 하여금 제2항에 따른 신청내용이 영 제10조의5제1항 및 제2항에 따른 지정 요건을 충족하는지 심사하게 할 수 있다. ④ 영 제10조의5제4항에서 “금융위원회가 정하여 고시하는 지정서”란 별지 제2호서식을 말한다. 제7조(사기정보제공기관의 제공 정보) ① 영 제10조의6제4항제3호에서 “금융위원회가 인정하여 고시하는 정보”란 다음 각 호의 정보를 말한다. 1. 가상자산거래계정[가상자산거래소가 가상자산(「가상자산 이용자 보호 등에 관한 법률」 제2조제1호의 가상자산을 말한다. 이하 같다)의 거래ㆍ보관 등의 서비스 제공을 위하여 이용자(같은 법 제2조제3호의 이용자를 말한다. 이하 “가상자산거래이용자”라 한다)에게 부여한 고유식별번호를 말한다. 이하 같다]의 식별에 관한 정보 2. 제1호에 따른 가상자산거래계정의 명의인의 이름, 생년월일, 고유식별정보 등 명의인을 식별하기 위한 정보 3. 가상자산거래를 위한 예치금(「가상자산 이용자 보호 등에 관한 법률」 제6조제1항에 따른 예치금을 말한다. 이하 같다)ㆍ가상자산을 입금ㆍ이전받기 위하여 제1호의 가상자산거래계정에 연결하여 가상자산거래이용자에게 제공되는 입금용 계좌번호ㆍ가상자산주소(가상자산의 전송 기록 및 보관 내역의 관리를 위하여 전자적으로 생성시킨 고유식별번호를 말한다. 이하 같다) 및 제1호의 가상자산거래계정에 연결된 가상자산거래이용자의 계좌번호에 관한 정보 4. 전기통신금융사기와 관련되거나 관련된 것으로 의심되는 예치금의 입금ㆍ출금 거래의 일시ㆍ금액ㆍ유형, 가상자산의 이전 거래의 일시ㆍ종류ㆍ수량ㆍ이전받은 자 및 가상자산주소 등 거래내역에 관한 정보 5. 가상자산거래의 진실성과 정확성을 확보하기 위하여 사용되는 매체·수단을 수집하는 데 이용되거나 이용된 것으로 의심되는 인터넷홈페이지, 응용프로그램, 이동통신단말장치에서 사용되는 애플리케이션(Application) 및 이를 통해 개인정보등이 유출된 자에 관한 정보로서 영 제10조의6제3항 각 호의 정보 6. 가상자산거래를 위한 계약의 체결(가상자산거래를 위한 계정의 개설을 포함한다) 과정에서 영 제10조의6제4항제2호 각 목 외의 본문에 해당하는 정보 제8조(사기정보이용기관) ① 영 제10조의6제6항제5호에서 “금융위원회가 인정하여 고시하는 자”란 다음 각 호의 어느 하나에 해당하는 자를 말한다. 1. 가상자산거래소 2.「전기통신사업법」 제2조제8호에 따른 전기통신사업자 3.「방송통신발전기본법」 제15조에 따른 한국정보통신진흥협회 ② 영 제10조의6제7항제4호에서 “금융위원회가 인정하여 고시하는 사기정보이용기관”이란 다음 각 호의 어느 하나에 해당하는 자를 말한다. 1. 가상자산거래소 2.「방송통신발전기본법」 제15조에 따른 한국정보통신진흥협회 제9조(기술적ㆍ물리적ㆍ관리적 보안대책) 영 제10조의6제8항 각 호외의 부분 후단에 따라 정보공유분석기관이 수립ㆍ시행하여야 할 기술적ㆍ물리적ㆍ관리적 대책의 구체적인 기준은 별표 2와 같다. 부 칙 제1조(시행일) 이 고시는 8월 4일부터 시행한다. 제2조(다른 고시의 폐지) 이 지침 시행 전 제정된 「전기통신금융사기 피해 방지를 위한 본인확인조치 방법」(금융위원회고시 제2015-41호)은 이 지침 시행과 동시에 폐지한다. [별표 1] 정보공유분석기관 지정의 세부요건 (제6조제1항 관련) Ⅰ. 인력 및 조직 가. 정보공유분석기관의 역할을 적절히 수행하기 위한 전문성을 갖춘 다음의 어느 하나에 해당하는 인력을 8명 이상 상시 고용하고, 데이터 및 보안 전문인력, 법률 전문인력을 각각 최소 2명 이상 포함할 것 (1) 데이터 및 보안 전문인력 ①. ｢국가기술자격법｣에 따른 정보관리기술사, 컴퓨터시스템응용기술사, 정보통신기술사 자격을 취득한 자로서 2년 이상 관련 업무(개인정보 보호, 데이터 공유ㆍ분석ㆍ활용 등 업무. 이하 (1)에서 같다)를 수행한 경력이 있는 자 ②. 관련 분야(컴퓨터공학, 정보보호학, 데이터베이스공학, 통계학, 수학 등 이하 (1)에서 같다)에서 박사 학위를 취득한 자로서 2년 이상 관련 업무를 수행한 경력이 있는 자 ③. 관련 분야에서 석사 학위를 취득한 자로서, 4년 이상 관련 업무를 수행한 경력이 있는 자 ④. 관련 분야에서 학사 학위를 취득한 자로서 6년 이상 관련 업무를 수행한 경력이 있는 자 ⑤. 관련 분야에서 8년 이상 관련 업무를 수행한 경력이 있는 자 (2) 법률 전문인력 ①. 변호사의 자격을 소지한 자로서 1년 이상 관련 법률 업무(개인정보 보호, 데이터 공유ㆍ분석ㆍ활용 등 관련 법률 자문 또는 지원 업무. 이하 (2)에서 같다)를 수행한 경력이 있는 자 ②. 법학박사 학위를 취득한 자로서 2년 이상 관련 법률 업무를 수행한 경력이 있는 자 ③. 법학석사 학위를 취득한 자로서 4년 이상 관련 법률 업무를 수행한 경력이 있는 자 ④. 법학학사 학위를 취득한 자로서 6년 이상 관련 법률 업무를 수행한 경력이 있는 자 ⑤. 8년 이상 관련 법률 업무를 수행한 경력이 있는 자 나. 정보공유분석기관의 임원이 다음을 충족할 것. ①. 최근 5년간 ｢신용정보의 이용 및 보호에 관한 법률｣ 제25조제2항제1호에 따른 종합신용정보집중기관에 같은 법 제2조제1호의4나목에 해당하는 정보가 등록된 사실이 없을 것 ②. ｢금융회사의 지배구조에 관한 법률｣ 제5조제1항 각 호의 어느 하나에 해당하지 아니할 것. 이 경우 "금융관계법령"은 금융관계법령 및 ｢개인정보보호법｣으로 본다. Ⅱ. 시설 및 설비 가. 전산설비 구성 세부 요건 시스템 구성 1. 시스템 구성에 다음 항목을 포함할 것 가. D/B서버 나. WEB서버 다. 통신서버 라. 보안서버 및 통신구간 암호화 시스템 마. 그 밖의 주변장치 2. 백업 및 복구시스템 3. 시스템 보안 및 시설 보안을 포함한 보안관리 체계 시스템 성능 1. 사기정보제공기관으로부터의 통신사기정보 수집 및 사기정보이용기관에의 제공을 적절하게 처리할 수 있는 성능을 갖출 것 2. 보유한 통신사기정보를 적절하게 분석･활용할 수 있는 성능을 갖출 것 3. 백업 및 복구작업이 최소한의 시간내에 가능할 것 보안체계 1. 방화벽(Fire-Wall)을 갖출 것 2. 침입을 탐지ㆍ경고ㆍ차단할 수 있는 보안시스템을 갖출 것 3. 인터넷 및 내부 업무용 네트워크와 통신사기정보의 공유･분석을 위한 네트워크를 분리하여 운용할 것 4. 정보이용자 확인 체계(사용자 인증)를 갖출 것 5. 데이터 암호화처리 체계를 갖출 것 6. 외부침입 방지, 출입자관리 통제 및 데이터 반출･반입 통제에 대한 대책을 강구할 것 7. 백업 및 소산관리 대책을 강구할 것 나. 업무공간과 사무장비 (1) 통신사기정보를 안전하게 공유･분석하기 위한 전용 시스템 및 분리된 사무공간을 갖출 것 (2) 정보공유분석기관 업무 수행 인원 대비 충분한 업무공간 및 사무장비를 갖출 것 (3) 내부기관 및 감독기관 등이 감독･검사업무를 수행함에 있어 법적 장애가 없을 것 다. 업무의 연속성을 유지할 수 있는 보완설비 (1) 파업 등 불시사태 또는 비상사태에 대비한 비상계획(Contingency Plan)이 마련되어 있을 것 Ⅲ. 재정능력 및 관리체계 가. 신청인의 기본재산이 80억원 이상일 것 나. 신청인의 설립 취지와 현재 영위하고 있는 사업영역이 정보공유분석기관의 업무 수행에 적합할 것 다. 통신사기정보를 안전한 수집･제공･관리･분석 및 파기하기 위한 위험관리체계 및 내부통제장지를 마련할 것 [별표 2] 기술적･물리적･관리적 보안대책 마련 기준 (제9조 관련) Ⅰ. 목 적 이 기준은 제9조 에서 정하는 통신사기정보 처리의 안전성 확보를 위한 기술적ㆍ물리적ㆍ관리적 대책의 구체적인 기준을 정함을 목적으로 한다. Ⅱ. 기술적ㆍ물리적ㆍ관리적 보안대책 1. 접근통제 ① 정보공유분석기관은 통신사기정보를 처리하는 전산시스템(이하 "통신사기정보처리시스템"이라 한다)에 대한 접근권한을 전기통신금융사기 정보의 분석 및 제공 업무에 필요한 최소한의 인원에게만 부여한다. ② 정보공유분석기관은 전보 또는 퇴직 등 인사이동이 발생하여 통신사기정보를 처리하는 업무를 담당하는 자(이하 "통신사기정보취급자"라 한다)가 변경되었을 경우 지체 없이 통신사기정보처리시스템의 접근권한을 변경 또는 말소한다. ③ 정보공유분석기관은 제1항 및 제2항에 따른 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다. ④ 정보공유분석기관은 통신사기정보처리시스템에 침입차단시스템과 침입탐지시스템을 설치하여 보호한다. ⑤ 정보공유분석기관은 통신사기정보취급자가 추측하기 쉬운 단어나 숫자를 비밀번호로 이용하지 않도록 비밀번호 작성규칙을 수립하고 이행한다. ⑥ 정보공유분석기관은 취급 중인 통신사기정보가 권한이 없는 제3자가 접근할 수 없도록 통신사기정보처리시스템 및 통신사기정보취급자의 정보처리기기를 설정한다. ⑦ 정보공유분석기관은 통신사기정보처리시스템 관련 개발업무에 사용되는 업무장소 및 전산설비는 운영업무용과 분리하여 설치ㆍ운영한다. ⑧ 정보공유분석기관은 업무목적을 위하여 불가피한 경우에만 외부사용자에게 통신사기정보처리시스템에 대한 최소한의 접근권한을 부여하고, 권한 부여에 관한 기록을 3년 이상 보관하는 등 적절한 통제시스템을 갖추어야 한다. 2. 접속기록의 위ㆍ변조방지 ① 정보공유분석기관은 통신사기정보취급자가 통신사기정보처리시스템에 접속하여 통신사기정보를 처리한 경우에는 처리일시, 처리내역 등 접속기록을 저장하고 이를 월 1회 이상 정기적으로 확인ㆍ감독한다. ② 정보공유분석기관은 통신사기정보처리시스템의 접속기록을 1년 이상 저장하고, 위ㆍ변조되지 않도록 별도 저장장치에 백업 보관한다. 3. 통신사기정보의 암호화 처리 및 외부망 분리 ① 정보공유분석기관은 사기정보제공기관 및 사기정보이용기관과 전용회선(전용회선과 동등한 보안수준을 갖춘 가상의 전용회선을 포함한다)으로 통신사기정보를 송ㆍ수신하여야 하며, 보안서버 구축 등의 조치를 통해 통신사기정보를 암호화하여야 한다. 보안서버는 다음 각 호의 어느 하나의 기능을 갖추어야 한다. 1. 웹서버에 SSL(Secure Socket Layer) 인증서를 설치하여 통신사기정보를 암호화하여 송ㆍ수신하는 기능 2. 웹서버에 암호화 응용프로그램을 설치하여 통신사기정보를 암호화하여 송ㆍ수신하는 기능 ② 정보공유분석기관은 통신사기정보를 PC에 저장할 때에는 이를 암호화해야 한다. ③ 정보공유분석기관은 다음 각 호의 기준에 따라 개인식별정보의 암호화 등의 조치를 취하여야 한다. 1. 정보통신망을 통하여 송수신하거나 보조저장매체를 통하여 전달하는 경우에는 암호화하여야 한다. 2. 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone) 에 저장할 때에는 암호화하여야 한다. 3. 정보공유분석기관이 내부망에 개인 식별정보 를 저장하는 경우에는 암호화하여야 한다. 4. 업무용 컴퓨터에 저장하여 관리하는 경우에는 상용 암호화 소프트웨어 또는 안전한 알고리즘을 사용하여 암호화하여야 한다. 4. 컴퓨터바이러스 방지 ① 정보공유분석기관은 통신사기정보처리시스템 및 통신사기정보취급자의 정보처리기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 백신소프트웨어를 설치하여야 한다. ② 제1항에 따른 백신 소프트웨어는 월 1회 이상 주기적으로 갱신ㆍ점검하고, 바이러스 경보가 발령된 경우 및 백신 소프트웨어 제작 업체에서 업데이트 공지를 한 경우에는 즉시 최신 소프트웨어로 갱신ㆍ점검하여야 한다. 5. 출력ㆍ복사시 보호조치 ① 정보공유분석기관은 통신사기정보처리시스템에서 통신사기정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화 한다. ② 정보공유분석기관은 통신사기정보를 조회하는 경우 조회자의 신원, 조회일시, 대상정보, 목적, 용도 등의 기록을 관리하여야 하며, 영 제10조의4제14항에 따른 운영기준에 따라 사기정보이용기관에 통신사기정보를 제공하는 경우 이외의 경우로서 통신사기정보취급자가 통신사기정보를 보조저장매체에 저장하거나 이메일 등의 방법으로 외부에 전송하는 경우에는 관리책임자의 사전 승인을 받아야 한다. ③ 통신사기정보취급자는 제1항 및 제2항의 준수에 필요한 내부시스템을 구축하여야 하며 사전 승인시 승인신청자에게 관련 법령을 준수하여야 한다는 사실을 주지시켜야 한다. 6. 통신사기정보보호최고책임자 지정 ① 정보공유분석기관은 다음 각 호의 업무를 담당하는 통신사기정보보호책임자를 지정하여야 한다. 이 경우 통신사기정보보호최고책임자는 임원인 자로 지정하여야 하며, 「개인정보 보호법」 또는 「전자금융거래법」에 따른 정보보호최고책임자, 「신용정보의 이용 및 보호에 관한 법률」에 따른 신용정보관리‧보호인을 겸임할 수 있다. 1. 통신사기정보의 관리 및 보호 계획의 수립 및 시행 2. 통신사기정보의 관리 및 보호 실태, 관련 법령 및 규정 준수 여부에 대한 점검 및 개선 3. 통신사기정보 유출 등을 방지하기 위한 내부통제시스템의 구축 및 운영 4. 통신사기정보취급자에 대한 관리ㆍ감독 및 교육 5. 통신사기정보 처리업무를 위탁하는 경우 수탁자의 관리 및 감독 6. 통신사기정보 열람 및 정정청구 등 정보주체의 권리행사 및 피해구제 7. 통신사기정보 유출시 대응 계획의 수립 및 시행 ② 통신사기정보보호책임자는 제1항의 업무처리에 따른 기록을 3년간 보존하며, 점검결과를 최고경영자에 보고하고 업무처리절차에 적절히 반영하여야 한다. 7. 제재기준 마련 정보공유분석기관은 통신사기정보의 유출 및 오‧남용에 대한 자체 제재기준을 마련하여야 한다. ■ 전기통신금융사기피해방지에관한규정 [별지 제1호서식] 정보공유분석기관 지정 신청서(제6조제2항 관련) 정보공유분석기관 지정 신청서 신청인 성명(대표자) 주민등록번호 상호 또는 명칭 (전화번호) 본점 및 영업소의 소재지 자본금 또는 기본재산 ｢전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법｣ 제13조의4 및 같은 법 시행령 제10조의5에 따라 위와 같이 정보공유분석기관 지정을 신청합니다. 0000년 00월 00일 신청인 _____ 서명 또는 인 금융위원회 위원장 귀하 ※ 구비서류 1. 정관 2. 법인 등기사항증명서(「전자정부법」제36조제1항에 따른 행정정보의 공동이용을 통한 확인에 동의하지 않는 경우) 3. 시행령 제10조의5제1항 및 제2항에 따른 요건을 갖췄는지를 확인할 수 있는 서류 및 이와 관련한 부속서류 수수료 없음 ■ 전기통신금융사기피해방지에관한규정 [별지 제2호서식] 정보공유분석기관 지정서( 제6조제4항 관련) < 정보공유분석기관 지정서 > 기 관 명 : 대 표 자 : 주 소 : ｢전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법｣ 제13조의4 및 같은 법 시행령 제10조의5에 따라 위와 같이 정보공유분석기관으로 지정합니다. 년 월 일 금융위원회