1억원·4시간·1만건은 어디까지를 면제하나

01 · 확정된 사실

확정된 사실

금융위원회는 2026년 6월 30일 면책심의위원회에서 조치를 의결하고 7월 2일 프런티어 AI 보안위협 대응 면책 조치와 가이드라인을 발표했습니다.

면책은 보안목적 AI를 활용한 취약점·포트 스캐닝과 자동화 침투 시도, 관계기관이 전파한 취약점에 대한 긴급 패치나 이에 준하는 전산장비 변경을 대상으로 합니다. 경미한 장애, 신속한 복구수단, 사전 안내와 피해구제 같은 소비자 보호조치를 종합해 판단합니다.

금융위원회는 면책범위가 기관·임직원에 대한 제재·신분제재와 과태료를 포괄한다고 밝혔습니다. 개인신용정보 유출에는 이번 조치와 관계없이 신용정보법상 제재가 적용됩니다. 가이드라인 자체는 준수하지 않았다는 이유만으로 불이익을 부과하지 않는 모범규준입니다.

02 · 왜 이런 구조인가

왜 이런 구조인가

보안 취약점 점검과 긴급 패치는 서비스를 잠시 멈추게 할 수 있습니다. 점검을 미루면 침해 위험이 커지고, 실행하면 장애로 제재받을 위험이 생깁니다. 이번 면책은 그 유인을 바꾸려는 행정조치입니다.

숫자 세 개는 사고 뒤 금융회사가 집계하는 값입니다. 발표문은 이를 ‘등이 일정기준 이내’라고 하고 면책요건을 ‘종합적으로 고려’한다고 적었습니다. 세 값만 충족하면 자동 면책된다는 뜻은 아닙니다.

전자금융거래법 제9조는 접근매체 위·변조, 전자적 전송·처리 과정의 사고 등에 대해 금융회사 또는 전자금융업자의 이용자 손해배상책임을 정합니다. 감독당국의 제재 면책 의결은 이용자의 민사상 청구권을 없애는 조문이 아닙니다.

03 · 누가 얼마나 물리는가

누가 얼마나 물리는가

직접 면책 심사를 받는 쪽은 금융회사와 임직원입니다. 영향을 받는 이용자는 테스트나 패치 시간에 이체·결제를 하려던 사람과 정보가 유출된 사람입니다. 이용자는 면책 절차의 당사자가 아니며 결과를 개별 통지받는 구조도 공개되지 않았습니다.

개인신용정보가 아닌 고객정보 9,999건이 유출되거나 장애가 4시간 이내였더라도 이용자 손해가 사라지는 것은 아닙니다. 반대로 세 기준 안이라고 해서 자동으로 면책되는 것도 아닙니다. 복구와 소비자 보호조치 이행을 함께 심사합니다.

04 · 무엇이 해결되지 않았나

무엇이 해결되지 않았나

05 · 지금 할 일

지금 할 일