이번 추석 연휴, 은행들은 쉬지 못했습니다. 연휴 기간 금융권에서 대규모 개인정보 유출 사고가 터졌기 때문입니다. 흥미로운 건 뚫린 곳이 인터넷뱅킹 같은 핵심 전산망이 아니었다는 점입니다. 대출모집인 페이지, 임직원용 업무지원 시스템 같은 ‘주변부’가 노려졌습니다. 이 사고 이후 은행들이 해외 법인 보안까지 다시 짜기 시작했습니다. 여러 보도를 묶어 흐름을 정리했습니다.
무슨 일이 있었나
보도에 따르면 지난달 말부터 은행, 캐피탈, 저축은행, 상호금융 전반에서 외부 침입에 따른 정보유출과 해킹 시도가 이어졌습니다. 확인된 유출 규모는 다음과 같습니다.
- 신한은행: 대출모집인용 모바일 조회서비스에서 약 2만 5천 명
- 예가람저축은행: 약 4만 명
- KB국민은행: 직원용 모바일 업무지원시스템에서 119명
- 하나은행: 영업지원시스템에서 89명
- BNK부산은행: 외부 웹서버에서 외주 개발 직원 11명
- 웰컴저축은행: 법인고객 정보 최대 2,200건
- 현대캐피탈: 유출 확인 (규모는 보도에서 확인하지 못했습니다)
우리은행과 NH농협은행은 유사한 공격을 받았지만 유출은 확인되지 않았고, 새마을금고중앙회와 농협 상호금융도 침입 시도는 있었으나 유출로 이어지지는 않은 것으로 알려졌습니다. 유출 정보에는 이름, 전화번호, 주소, 직장명, 연소득, 이메일이 포함됐습니다.
왜 ‘주변부’가 문제일까
공격 시간대와 수법이 비슷하고 반복적·자동화된 방식이어서, 같은 세력이 여러 금융사의 약점을 동시에 탐색했을 가능성이 제기됩니다. 금융당국은 AI를 활용한 공격 가능성도 살펴보고 있지만, 보도에서는 AI 사용이 확정된 것은 아닙니다. 중요한 건 방식보다 구조입니다. 핵심 시스템은 방어가 촘촘해도 대출모집인, 임직원, 외주·위탁업체가 쓰는 외부 접점은 계정 관리가 느슨해지기 쉽습니다. 성벽은 높아졌는데 쪽문이 열려 있던 셈입니다.
당국과 전문가가 짚은 지점
- 금융위원장은 공유된 공격정보를 소홀히 해 유사 사고가 나면 법령에 따라 책임을 묻겠다는 취지로 경고했습니다.
- 금융당국은 전 금융권에 외부에 노출된 IT 자산, 인증·접근통제, 침해 탐지 체계 전반을 재점검하라고 주문했습니다.
- 이상복 서강대 로스쿨 교수는 핵심 시스템 밖에서 일어난 유출이라도 은행의 관리 책임은 피하기 어렵다고 봤고, CISO 권한 강화와 CEO의 직접 관여를 제안했습니다.
- CEO 정보보호 책임 강화를 담은 전자금융거래법 개정안은 국회에서 장기간 논의가 멈춘 상태라는 지적도 나옵니다.
그래서 해외 법인까지 손보는 이유
이투데이가 정리한 4대 은행의 해외 보안 대응은 이 맥락에서 읽으면 이해가 쉽습니다. 주변부가 약점이라면 해외 점포는 가장 주변부이기 때문입니다.
- 신한은행: 해외 DLP(정보유출방지) 재구축, 해외 20개국 24시간 통합보안관제(2021년 말 구축), Agentic SOC 구현 방침
- KB국민은행: 현지 법규별 고객정보 분리·암호화, 중국법인 고객정보 국외 반출 전면 차단, 본점 교환 시 익명화 의무
- 우리은행: AX보안팀 신설(기사상 지난 7월), AI 레드티밍, 해외 점포 전담 인력 파견 확대
- NH농협은행: 2026년 말 EDR 해외 확대, 2027년 상반기 통합 위협 대응 체계와 BAS 도입
네 곳의 공통점은 탐지(관제·EDR)와 검증(레드티밍·BAS)을 자동화하겠다는 것입니다. 사람이 일일이 보기엔 접점이 너무 많아졌다는 판단으로 읽힙니다.
용어 한 번에 정리
- DLP: 민감 데이터의 외부 유출을 탐지·차단하는 솔루션
- SOC: 24시간 위협을 모니터링하는 보안관제센터
- 레드티밍: 공격자 시각에서 시스템을 공격해 약점을 찾는 훈련
- EDR: 단말의 위협 행위를 탐지하고 대응하는 도구
- BAS: 공격 시나리오를 자동 반복 실행해 방어 체계를 검증하는 방식
고객이 지금 할 수 있는 것
- 이름·연락처·직장·소득이 결합된 정보는 맞춤형 사기에 쓰일 수 있습니다. 금융사를 사칭한 문자, 전화, 대출 안내는 링크를 누르지 말고 공식 앱·대표번호로 확인하세요.
- 내 금융사에서 유출 대상 여부를 안내받았는지 확인하세요. 안내가 왔다면 비밀번호를 바꾸고 추가 인증을 켜 두는 편이 안전합니다.
- 회사에서 보안을 맡고 있다면 외부에 열려 있는 업무 시스템과 외주 계정이 어디까지 접근 가능한지 먼저 점검해 보세요.
이 글은 공개된 보도를 종합해 정리한 것입니다. 사고 조사는 진행 중이며 수치와 책임 소재는 달라질 수 있으니 최신 내용은 원문과 금융당국 발표를 확인해 주세요.
참고한 보도