警察は、最近発生した金融機関へのハッキング事件を情報通信網法（정보통신망법）違反の疑いで立件し、正式捜査に着手した。警察庁国家捜査本部（경찰청 국가수사본부）は2026年10月6日、客観的な事実関係を確認したうえで、捜査段階に移行したと明らかにした。サイバーテロ捜査隊（사이버테러수사대）を専任捜査チームに指定し、サイバーテロ対応課長（사이버테러대응과장）をチーム長とする4チーム、計28人を投入した。捜査と並行して、侵害されたシステムが重大犯罪捜査庁への通知対象に当たるかどうか、法的な分類についても検討している。

背景と経緯

警察は10月2日から立件前調査（正式立件前に事実関係を調べる手続き）を進めてきた。その後、情報通信網法違反の疑いで立件したが、これは捜査対象として正式に移行したという意味であり、犯罪事実や被疑者の責任が確定したことを意味するものではない。

今回の件で重大犯罪捜査庁への通知対象となるかどうかは、被害を受けた金融機関が金融会社かどうかだけで決まるわけではない。報道によると、通知対象となるサイバー犯罪には、国家重要基盤へのハッキングなどに伴う情報通信網法違反や、電子金融基盤施設へのハッキングなどに伴う電子金融取引法（전자금융거래법）違反が含まれる。警察は、被害を受けた金融機関そのものが国家重要基盤に該当しなくても、侵害されたシステムが電子金融基盤施設に当たれば、通知対象となる可能性があるとみている。

そのため、金融委員会に依頼した法令解釈（法令や制度の適用について関係機関が示す公式見解）が重要な分岐点となる。システムがどの施設に該当するか判断されて初めて、通知対象かどうかを見極められるからだ。ただし、現時点で確認されているのは、警察が金融委員会に解釈を依頼した段階までだ。結果が出た、あるいは重大犯罪捜査庁への通知が決まったという意味ではない。

このニュースが意味すること

今回の捜査では、ハッキング行為の事実関係を確認することに加え、侵害されたシステムがどの法的カテゴリーに属するかを見極めることも焦点となっている。システムの分類によって適用される可能性のある法的手続きや関係機関の対応方法が異なり得る点で、注目される。ただし、報道された内容だけでは、重大犯罪捜査庁が実際に捜査を担当することになるのか、また通知後に捜査手続きがどのように進むのかは分からない。

金融会社の顧客にとっては、被害の有無と範囲を確認することが重要となる可能性がある。別の報道では、複数の金融会社からの情報流出と顧客への影響の可能性が取り上げられているが、その報道の範囲が警察が正式捜査に切り替えた事件と一致するかどうかは確認されていない。たとえば、今回の事件の対象となった金融会社の顧客であれば、関係する金融会社が被害の有無や保護措置について別途案内しているか確認するとよい。これは被害が確認されたという意味ではなく、現在の報道では事件ごとの範囲が明確に区別されていないため、確認が必要だということだ。

捜査チームの規模だけから、捜査結果や被害回復を予測することはできない。警察は関係機関と協力し、迅速かつ厳正に捜査すると明らかにしており、今後の判断には、実際に侵害されたシステムの特定や金融委員会の解釈、捜査で明らかになる事実関係が影響する可能性がある。

関連制度・支援情報

社内法律ガイドL1（사내 법률 가이드 L1）は、情報通信網法上の侵入に当たるかどうかを判断する際、IDとパスワードを知っていることや、過去に使用許可を受けたことだけで、現在も正当なアクセス権限が認められるわけではないと説明している。サービス提供者が付与した権限や、その権限が現在も有効かどうかなど、具体的な事情を確認する必要がある。これは今回の事件で侵害されたシステムやアクセス方法が確認されたという意味ではなく、警察による容疑の判断に代わるものでもない。

したがって今回の件では、「金融会社のシステムにアクセスした」という事実だけで適用法令や責任を断定するのではなく、どのシステムに、どのような権限でアクセスしたのか、またそのシステムが電子金融基盤施設に該当するのかを確認する必要がある。L1も、法的判断には具体的な事実関係と現行法令の確認が必要だと注意を促している。この資料には、金融機関へのハッキング被害者が申請できる別途の支援事業や申請期限は示されていない。

報道によって異なる点

警察の捜査着手を伝えた報道では、容疑による立件と28人の専任捜査チーム、重大犯罪捜査庁への通知の検討、金融委員会への法令解釈の依頼が伝えられた。一方、別の報道は金融会社7社で情報流出が報告され、6万7000人以上が影響を受けた可能性があると伝えた。また、別の報道には、新韓銀行（신한은행）へのハッキングに使われたIPアドレスの一部がトスバンク（토스뱅크）のサーバーにもアクセスを試みたものの、遮断されたとの内容がある。

これらの報道は、金融業界で報告されたハッキングやアクセスの試み全般を扱っているが、各報道にある被害機関・人数・アクセスの試みが、警察が立件した事件とどの範囲で重なるかは、提示された根拠だけでは確認できない。したがって、別の報道にある数字を、今回の警察の捜査事件における確定した被害規模と受け取るべきではない。

確認されている事実と、まだ分からないこと

確認されている事実

  • 警察は10月2日から立件前調査を行い、10月6日に情報通信網法違反の疑いで立件して正式捜査に切り替えた。
  • 警察庁サイバーテロ捜査隊が専任捜査チームに指定され、4チーム、計28人で構成されている。
  • 警察は、侵害されたシステムが電子金融基盤施設に該当するかどうかについて、金融委員会に法令解釈を依頼した。
  • 重大犯罪捜査庁への通知対象となるかどうかは検討中であり、通知が決まった事実は確認されていない。

まだ分からないこと

  • ハッキングの具体的な経緯と、侵害されたシステムが何か。
  • 警察の捜査対象と、別の報道で言及された金融会社および被害規模が、どの範囲で一致するか。
  • 攻撃主体が誰なのか、金融委員会が電子金融基盤施設への該当性をどのように判断するか。
  • 重大犯罪捜査庁への通知の有無と、その後の捜査手続きがどのように決まるか。

読者が確認すべきこと

  • 該当する金融会社のお知らせで、自身の被害の有無や案内内容を確認する。別の報道にある被害者数が警察の事件と同じ範囲だと決めつけない。
  • ハッキングや個人情報流出を持ち出す連絡を受けた場合は、金融会社の公式案内を通じて事実かどうか確認する。この案内は、現時点で二次被害が発生したことを意味するものではなく、事件の範囲がさらに確認される必要があることを踏まえた予防的な確認だ。
  • 捜査の進展については、金融委員会によるシステム分類の解釈と、警察による重大犯罪捜査庁への通知判断を区別して確認する。法令解釈の依頼と通知の検討は、いずれも判断が終わったことを意味しない。

参考資料