금융권 AI 해킹 개인정보 유출 총정리: 은행별 유출 규모와 대응 체크리스트
10월 초, 신한은행에서 시작된 고객 정보 유출이 KB국민·하나·부산은행을 거쳐 저축은행·캐피탈사까지 번졌습니다. 금융당국은 인공지능(AI) 에이전트를 활용한 자동화 공격 가능성을 두고 전 금융권 보안 점검에 나섰고, 경찰은 정식 수사로 전환했습니다. 지금 시점에서 정확히 어떤 정보가 얼마나 빠져나갔는지, 그리고 내가 할 수 있는 대응은 무엇인지 정리했습니다.
왜 금융사가 한꺼번에 뚫렸나
공격의 공통점은 고객이 쓰는 인터넷·모바일 뱅킹이 아니라 직원용 업무지원 시스템을 노렸다는 점입니다. 신한은행은 대출모집인이 대출 처리 현황을 조회하던 모바일 홈페이지 경로를, 하나은행은 영업지원시스템(ODS)을, KB국민은행은 직원용 모바일 업무지원 시스템을 공격받았습니다. 대고객 창구보다 인증 절차가 느슨한 내부 시스템의 빈틈을 파고든 셈입니다.
신한은행 사고의 경우 공격자 IP는 한국·미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가에서 유입됐습니다. 보안업계에서는 확보한 개인정보를 대입해 로그인을 시도하는 ‘크리덴셜 스터핑’ 공격이 AI 에이전트로 자동화됐을 가능성을 거론하지만, 구체적인 공격 수법과 공격 조직의 실체는 추가 조사가 필요한 상황입니다.
금융사별 유출 규모 한눈에 보기
| 금융사 | 유출 규모 | 유출된 주요 정보 |
|---|---|---|
| 신한은행 | 약 2만 5천 명 (2만 5,727건) | 고객명, 전화번호, 연소득, 대출 산출한도, 주민등록번호 66건, 연계정보(CI) 97건 |
| 예가람저축은행 | 약 4만 명 | 고객 이름, 생년월일, 연락처 |
| KB국민은행 | 고객 119명 (임직원 포함 총 153건) | 고객명, 휴대전화 번호, 주소, 암호화된 주민등록번호 일부 |
| 하나은행 | 89명 | 주민등록번호, 성명, 주소, 이메일, 전화번호, 직장명 |
| 현대캐피탈 | 대출모집인 146명 | 이름, 연락처, 이메일, 주민등록번호 |
| BNK부산은행 | 외주 개발 직원 11명 | 직원 개인정보 |
이와 달리 토스뱅크는 신한은행 공격에 쓰인 IP의 접근 시도 14차례를 차단해 실제 피해가 없었고, 새마을금고와 농협 상호금융도 침입 시도를 막아냈습니다. 우리은행과 NH농협은행에도 해킹 시도가 있었으나 현재까지 고객 정보 유출 피해는 확인되지 않았습니다. 한편 한국전력 직원 2만 4천여 명의 정보가 외부 웹페이지에 노출된 사고도 있었지만 한전 측은 이번 금융권 해킹과 무관하다고 밝혔습니다.
당국 대응과 수사 상황
- 경찰청 국가수사본부는 정보통신망법 위반 혐의로 입건하고 28명 규모 전담수사팀을 꾸려 정식 수사 중입니다.
- 금감원은 공격자 IP 33개(중복 제거 시 28개)를 전 금융사에 전파하고, 12개 항목의 보안점검 체크리스트를 배포해 10월 8일까지 조치를 요청했습니다.
- 금감원은 유출 규모가 가장 큰 신한은행을 현장검사 대상으로 전환해 유출 규모와 침투 경로, 법 위반 여부를 들여다보고 있습니다.
- 정부는 최고정보보호책임자(CISO)를 신고한 기업 약 2만 8천 곳에 보안 점검을 권고했고, KISA 인터넷침해대응센터는 24시간 비상 체제로 운영 중입니다.
유출을 알았다면: 대응 체크리스트
| 순서 | 할 일 | 확인할 것 |
|---|---|---|
| 1 | 유출 통지 확인 | 개인정보 보호법 제34조에 따라 유출을 인지한 회사는 72시간 이내에 유출 항목, 시점과 경위, 피해 최소화 방법, 대응조치와 피해 구제절차, 신고 연락처를 알려야 합니다. 연락처를 모르는 고객을 위해 회사 홈페이지에 30일 이상 게시하는 것으로 갈음할 수도 있으니 사고 금융사 공지사항도 꼼꼼히 확인하세요. |
| 2 | 해당 금융사 신고 창구 이용 | 하나은행과 신한은행은 피해 고객에게 개별 통보를 진행하고, 정보 유출로 실제 피해가 발생하면 관련 규정에 따라 전액 보상하겠다고 밝혔습니다. |
| 3 | 2차 피해 차단 | 명의도용방지서비스(Msafer)를 가입하면 전기통신서비스 부정 개통을 막을 수 있습니다. 전기통신사업법 제32조의6에 따라 전기통신사업자가 제공하는 무료 서비스입니다. |
| 4 | 유출 여부 조회 | 개인정보 포털의 ‘털린 내정보찾기’ 서비스로 다크웹 유출 여부를 확인할 수 있습니다. 상담이 필요하면 개인정보침해신고센터 전화 118(무료)을 이용하세요. |
| 5 | 금융 침해 신고 | 은행·증권·보험 등 금융기관의 개인신용정보 침해는 금융감독원(전화 1332)으로 신고합니다. |
평소에 해두면 좋은 예방 습관
- 금융사 앱과 이메일에 같은 비밀번호를 재사용하지 않습니다. 유출된 계정 정보가 다른 서비스 로그인에 쓰이는 것이 이번 공격의 기본 원리입니다.
- 문자나 메일로 온 ‘계정 확인’ 링크는 앱을 직접 켜서 확인하는 습관을 들입니다. 유출된 이름과 전화번호는 보이스피싱에 활용될 수 있습니다.
- 금융사의 유출 통지 문자를 받으면 발신 번호를 사칭하는 스미싱일 가능성도 있으니, 해당 금융사 앱이나 고객센터로 사실 여부를 따로 확인합니다.
이번 사고는 고객이 잘못한 것이 아니라 금융사 내부 시스템의 보안 허점에서 시작됐습니다. 유출 통지가 오면 사후 절차를 빠짐없이 밟고, 통지가 없더라도 평소 예방 습관을 지키는 것이 지금으로서는 가장 확실한 대응입니다.