FIU가 지목한 '약한 고리' 전자금융업자에게 AML은 왜 미룰 수 없는 과제가 되었나

금융정보분석원(FIU)은 2025년 말, 자금세탁의 '약한 고리'를 끊겠다며 2026년 자금세탁방지(AML) 감독·검사를 대폭 강화하겠다고 예고했다. 그러면서 최근 자금세탁 사고가 있었던 일부 전자금융업자와 상호금융업권을 직접 겨냥했다. 이 방향은 이미 올해 검사계획에 반영돼 움직이고 있다.

FIU가 예고한 것

FIU는 11개 검사수탁기관과 연 협의회(2025년 12월 12일)에서 자금세탁 위험이 높은 업권과 AML 제도이행평가가 미흡한 기관을 중심으로 검사를 강화하기로 했다. 특히 최근 사고가 있었던 일부 전자금융업자·상호금융업권에는 재발 방지를 위한 엄정한 검사·제재를 당부했다.

 

'약한 고리'의 대표 사례로는 일부 결제대행사(PG사)가 보이스피싱·불법도박 조직 등에 가상계좌 약 4,500개를 공급해 약 1조 8,000억 원의 불법자금이 흘러가도록 방조하고 약 32억 원의 수수료를 챙긴 건이 제시됐다. FIU는 검사수탁기관 검사에 직원을 파견하고 위법사례별 제재수준을 유형화해 공유할 계획이다. 여기에 2026년 1월 22일 시행된 개정 테러자금금지법으로, 테러 관련자가 직간접적으로 소유하거나 지배하는 법인까지 금융거래 제한(동결) 대상이 확대됐다. FIU는 금융권이 이 개정 사항을 실제로 이행하는지 검사 과정에서 면밀히 점검하겠다고 밝혔다.

왜 전자금융업이 반복해서 겨냥되나

전자금융업이 '약한 고리'로 지목되는 데는 구조적 배경이 있다. 결제대행에 쓰이는 가상계좌는 은행이 발급하고 PG사가 이를 재판매·관리하는 구조라, 가맹점 심사가 형식에 그치면 곧바로 범죄 자금의 통로가 된다. FIU가 사례로 든 1조 8,000억 원 건이 그 실물이다. 여기에 선불수단의 충전·양도가 반복되면 자금 이동경로 추적이 어렵고, 비대면 거래라 고객 확인에도 한계가 생긴다.

가상계좌가 '약한 고리'가 되는 자금 흐름 구조

 

주목할 점은 검사의 무게중심이 '규정을 갖췄는가'에서 '규정이 실제로 작동하는가'로 옮겨가고 있다는 것이다. 제도이행평가 결과가 미흡하거나 전년보다 크게 하락한 회사가 2026년 검사 대상 선정에 우선 반영된다는 점은, 평가가 더 이상 형식적 대응으로 넘길 사안이 아님을 뜻한다. 검사에서는 가상계좌 발급 한도 통제가 시스템 로직으로 실효성 있게 작동하는지, 가맹점의 실제 소유자를 파악하는지, 개정 테러자금금지법에 따라 법인 고객의 소유·지배 구조를 제재 목록과 교차 검증하는지가 확인될 가능성이 크다.

 

문제는 수기·엑셀 대응으로는 이 '검증 가능성'을 입증하기 어렵다는 데 있다. 검사관이 요구하는 것은 "우리는 통제하고 있다"는 진술이 아니라, 언제 누가 무엇을 확인했고 어떤 기준으로 걸러냈는지가 남은 이력이다. 이 이력을 자동으로 축적하지 못하는 조직은, 실제로 관리를 하고 있더라도 그 사실을 증명하지 못한다.

사기와 자금세탁은 하나의 사건이다

앞의 PG사 사례가 중요한 이유가 하나 더 있다. 이 사건은 '사기'인 동시에 '자금세탁'이었다. 적극 가담한 이 사례는 형사처벌 대상이 되어 관련자에게 실형이 선고됐지만, 그와 별개로 일선 금융회사의 통상적인 고객확인 소홀에는 행정제재인 과태료가 부과된다. 특정금융정보법은 고객확인의무를 제5조의2에 두고 있으며, 이를 위반하면 같은 법 제20조에 따라 통상적 고객확인의무(CDD) 위반 시 3천만 원 이하, 강화된 고객확인의무(EDD) 위반 시 1억 원 이하의 과태료가 부과될 수 있다.

 

핵심은 이런 범죄가 사기와 세탁의 경계에서 발생한다는 점이다. 이상거래탐지(FDS)와 자금세탁방지(AML)를 서로 다른 팀, 다른 시스템으로 분리해 운영하면 이 교차 유형은 사각지대에 놓인다. FDS는 "결제가 정상인가"를 보고 AML은 "고객이 정상인가"를 보는데, 실제 범죄는 두 질문 사이의 틈으로 들어온다. 사기(Fraud)와 자금세탁(AML)을 하나의 데이터·룰 체계에서 함께 보는 이른바 FRAML(Fraud + AML) 접근이 필요한 이유다.

 

ELONSOFT의 AML/FRAML은 바로 이 틈을 메우기 위해 설계됐다. 사기 탐지와 자금세탁방지를 분리된 두 시스템이 아니라 통합된 하나의 판단 체계로 운영해, 결제 이상과 자금세탁 위험을 교차로 포착한다. 그리고 모든 확인·탐지·보고 과정을 로그와 이력으로 남겨, 검사에서 요구되는 '검증 가능성'을 진술이 아닌 데이터로 증명한다.

결국 출발점은 고객확인(KYC)

이 모든 검사 강화의 바탕에는 전자금융업자에게 부여된 AML·KYC 의무 자체가 있다. 특정금융정보법에 따라 PG사·선불업자도 금융회사에 준하는 자금세탁방지 체계를 갖추고 고객확인제도(KYC)를 이행해야 한다. 고객확인(CDD)은 고객의 신원과 실제 소유자, 거래 목적, 자금 원천을 확인하는 절차로, 의심거래보고(STR)·고액현금거래보고(CTR)와 함께 자금세탁방지의 세 축을 이루는 리스크 관리의 출발점이다.

 

그런데 전자금융업의 현실은 비대면·대량·실시간이다. 사람이 일일이 신분증을 대조하고 제재 목록을 확인하는 방식으로는 거래 속도를 따라갈 수 없고, 그 과정에서 남는 기록도 불완전하다. 규제 요구를 지키면서 고객 경험을 해치지 않으려면, 고객확인·제재 목록 대조·실제 소유자 확인이 거래 흐름 안에서 자동으로 이뤄지고 그 이력이 함께 쌓이는 구조가 필요하다.

 

이엘온소프트는 고객확인부터 제재·PEP 목록 대조, 의심거래 탐지·보고까지를 하나의 흐름으로 자동화한다. 검사 대응을 위한 별도의 자료 정리 작업 없이, 평소의 운영 자체가 곧 검증 가능한 이력이 되도록 만드는 것이 목표다.

검사는 이미 시작됐습니다

FIU의 2026년 검사는 '제도가 있는가'가 아니라 '제도가 작동하고 증명되는가'를 묻습니다. 수기·엑셀 대응으로 이 질문에 답하기 어렵다면, 지금이 체계를 점검할 시점입니다.

 

 

참고자료

· FIU 2026년 AML 감독·검사 강화 방침 (2025.12.12 검사수탁기관 협의회)

· 개정 테러자금금지법 (2026.1.22 시행 · 테러 관련자 소유·지배 법인까지 거래제한 확대)

· 특정금융정보법상 고객확인의무(CDD/EDD)와 과태료 (제5조의2 의무 · 제20조 벌칙)