은행의 ‘정문’보다
쪽문이 먼저 뚫렸다
금융권 연쇄 개인정보 유출이 드러낸 진짜 취약점은 인터넷뱅킹 핵심망 하나가 아니다. 대출모집인용 페이지, 직원용 지원시스템, 외부에 노출된 업무 도구처럼 ‘업무를 빠르게 하려고 만든 접점’이 공격면이 됐다. 경찰 수사는 43명 규모로 확대됐고, 금융당국은 한 달간 2차 피해 특별대응에 들어갔다. 지금 확인된 사실과 아직 확인되지 않은 부분, 소비자가 당장 해야 할 조치를 차분히 분리해 본다.
연휴 사이 금융 소비자의 불안이 커졌지만, 현재 공개된 자료만 놓고 보면 인터넷·모바일뱅킹 같은 핵심 거래망 자체가 직접 침해됐다고 단정할 근거는 없다. 오히려 직원이나 영업조직이 쓰는 외부 업무시스템, 대출모집인 전용 페이지, 영업지원 도구처럼 핵심 거래망 바깥에 붙어 있는 시스템에서 정보유출이 확인됐다.
그렇다고 “핵심망이 아니니 작은 사고”라고 볼 수도 없다. 이름·주소·연락처·대출 관련 정보처럼 개인을 특정하고 금융 상황을 짐작하게 하는 정보는 공격자에게 훌륭한 사회공학 재료가 된다. 비밀번호나 일회용 인증정보가 빠져나가지 않았더라도, 상대가 내 이름과 거래 맥락을 정확히 알고 전화한다면 사람은 경계를 낮추기 쉽다. 금융위원회가 이번 사태를 단순한 정보유출에서 끝내지 않고 보이스피싱·스미싱 같은 2차 피해 문제로 연결해 소비자경보를 낸 이유다.
이번 기사는 사건의 규모를 자극적으로 키우기보다 세 층으로 나눠 본다. 첫째는 현재까지 확인된 침해 사실, 둘째는 수사와 제도 개선이 밝히게 될 책임 범위, 셋째는 소비자가 오늘부터 줄일 수 있는 실제 위험이다.
무슨 일이 있었나: 핵심 거래망이 아니라 업무 접점에서 시작된 유출
확인된 피해 범위와 언론 취합 수치 구분10월 초 여러 금융회사에서 비슷한 시기에 침해와 정보유출 사실이 잇따라 알려졌다. 10월 9일 뉴시스가 금융권과 금융당국을 취재해 정리한 기준으로는 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈, 온라인투자연계금융업체 PFCT와 모우다 등 9개 금융사에서 정보유출 피해가 파악됐다. 이 보도는 고객과 직원 정보를 합쳐 약 10만 명 규모로 집계했다. 다만 금융위원회가 10월 6일 낸 소비자경보 자료는 전체 피해 인원 총합을 별도로 제시하지 않았기 때문에, ‘9개사·약 10만 명’은 현재 언론 취합 기준이라는 점을 분명히 해둘 필요가 있다.
개별 사례도 공격 지점이 제각각이었다. 뉴시스 보도에 따르면 신한은행에서는 대출모집인 전용 모바일 홈페이지를 통해 약 2만5천 명의 개인정보가 유출됐고, KB국민은행은 임직원 업무지원 시스템에서 119명, 하나은행은 임직원용 영업지원시스템에서 고객 89명의 정보가 유출된 것으로 전해졌다. 각각의 피해 규모와 정보 항목은 금융회사별 공식 안내에서 다시 확인하는 것이 안전하다. 실제 유출 통지를 받은 소비자는 기사나 온라인 커뮤니티보다 해당 회사의 공식 앱·홈페이지·고객센터를 기준으로 자신에게 해당하는 항목을 확인해야 한다.
주목할 대목은 인터넷뱅킹과 모바일뱅킹 같은 핵심 거래시스템이 아니라 업무 편의를 위해 바깥과 접점을 넓혀온 ‘부가 시스템’이 공격면이 됐다는 점이다. 금융회사는 핵심 전산망에 강한 통제를 걸어두는 대신 영업·지원·제휴·상담 업무는 비교적 개방된 별도 시스템에 맡기는 경우가 많다. 공격자는 가장 단단한 금고문을 정면으로 부수기보다, 정보가 흐르면서도 감시 강도가 낮은 옆문을 찾는다.
외부에 닿는 업무시스템
직원·영업조직·협력사가 원격으로 접근하는 시스템은 업무 효율을 높이지만 외부 노출 지점도 늘린다.
비밀번호가 아니어도 위험
이름·주소·연락처·대출 맥락은 정교한 사칭 전화와 맞춤형 피싱의 설득력을 높일 수 있다.
핵심 금융자산과 구분
당국은 10월 6일 기준 이번 유출과 연계해 고객 자금이 빠져나간 사례는 확인되지 않았다고 밝혔다.
왜 ‘쪽문’이 중요해졌나: 디지털 금융의 공격면은 조직도보다 넓다
계정, 협력사, 영업지원, 오래된 시스템의 연결고리금융 보안에서 가장 어려운 문제는 “어디까지가 금융회사 시스템인가”를 한 문장으로 긋기 어렵다는 데 있다. 모바일 앱 뒤에는 고객인증 서버와 거래계 시스템뿐 아니라 상담도구, 마케팅 플랫폼, 문서전송, 대출모집인 포털, 영업지원시스템, 협력사 접속망, 원격 유지보수, 개발·테스트 환경이 층층이 붙어 있다. 각각은 독립된 작은 시스템처럼 보이지만 개인정보가 오가는 순간 모두 금융 신뢰의 일부가 된다.
특히 오래된 업무시스템은 ‘한 번 구축하고 크게 바꾸지 않는’ 특성이 있다. 접속 편의를 위해 넓게 부여된 권한, 여러 부서가 공유하는 계정, 바뀐 조직구조가 제대로 반영되지 않은 사용자 목록, 퇴직자·협력사 계정의 늦은 회수, 취약한 인증절차, 접근 가능한 데이터 범위를 과도하게 열어둔 화면 등이 겹치면 공격자는 작은 구멍으로도 많은 정보를 긁어갈 수 있다. 보안은 방화벽 한 대의 성능보다 ‘누가 어떤 상황에서 무엇을 얼마나 볼 수 있는가’를 지속적으로 점검하는 운영 규칙에 가까워진다.
여기서 중요한 것은 공격자가 반드시 내부 핵심망까지 들어갈 필요가 없다는 사실이다. 고객에게 피해를 주는 데 필요한 정보의 일부만 확보해도 충분한 경우가 많다. 예를 들어 이름과 연락처, 대출상담 여부, 금융회사와의 관계를 알면 “방금 상담한 건과 관련해 추가 확인이 필요하다”는 식의 전화가 훨씬 그럴듯해진다. 기술적 침해가 사회공학 사기로 이어지는 지점이다.
따라서 사고 이후의 질문도 “얼마나 많은 정보가 빠져나갔나”에서 끝나서는 안 된다. 어떤 계정이 뚫렸는지, 한 계정으로 몇 명의 정보에 접근할 수 있었는지, 대량 조회를 실시간으로 탐지했는지, 외부 시스템이 핵심 거래망과 어떻게 분리돼 있었는지, 협력사와 외부 사용자의 권한이 어떻게 관리됐는지까지 봐야 한다. 재발방지는 장비 구매보다 계정·권한·로그·업무절차를 다시 설계하는 작업에 가깝다.
‘AI 해킹’이라는 이름을 너무 빨리 붙이면 놓치는 것
가능성과 입증을 분리해야 한다이번 사건을 설명할 때 가장 눈길을 끄는 단어는 ‘AI 해킹’이다. 일부 피해 현장에서 같은 인터넷 주소 흔적과 중국어 기반 자율형 침투테스트 도구와 연관된 흔적이 포착됐다는 보도가 나왔다. 그러나 뉴시스의 10월 6일 보도도 해당 도구가 실제 공격에 사용됐는지는 공식 확인되지 않았다고 선을 그었다. 공격자가 자동화 도구를 썼을 가능성, 여러 기관을 빠르게 훑었을 가능성, 생성형 AI나 에이전트형 도구를 활용했을 가능성과 ‘이번 사건이 AI가 주도한 공격으로 확정됐다’는 말은 전혀 다른 수준의 주장이다.
그렇다고 AI의 보안 위협을 가볍게 볼 근거도 없다. 금융위원회는 이미 9월 3일 ‘프런티어 AI 상황대응반’ 회의를 통해 보안 목적의 AI 활용을 확대하는 제2차 망분리 규제 긴급완화 조치를 추진했다. 당시 1차 테스트에서 프런티어 AI가 방대한 소스코드를 수시간 내 분석하고 기존 취약점을 넓고 일관되게 찾아내는 데 강점을 보였다고 설명했다. 이 기능이 방어자에게는 취약점 탐지 도구가 되지만, 공격자에게는 공격 후보를 빠르게 찾는 도구가 될 수 있다는 점도 함께 지적됐다.
따라서 기업이 준비해야 할 것은 ‘AI 공격을 막는 신기한 AI 제품’ 하나가 아니다. 외부에 노출된 자산 목록을 최신 상태로 유지하고, 취약점 패치를 지연하지 않으며, 인증과 권한을 계층화하고, 반복적·비정상적 조회를 실시간으로 탐지하는 기본기를 자동화 속도에 맞춰 끌어올리는 일이다. AI가 공격 시간을 줄이는 만큼 방어도 탐지와 차단 시간을 줄여야 한다.
AI는 보안을 완전히 새로 만든다기보다, 기존 취약점을 더 빠르게 발견하고 더 빠르게 악용할 수 있게 만든다. 그래서 ‘기본 보안’의 가치가 오히려 더 커진다.
수사는 28명에서 43명으로: 포렌식과 국제공조가 왜 붙었나
공격 경로, 동일범 여부, 해외 서버 추적이 핵심경찰청 국가수사본부는 10월 9일 전담수사팀을 기존 28명에서 43명으로 확대했다고 밝혔다. 7일 디지털포렌식과 국제공조 등 지원 인력 15명을 더 투입한 것이다. 경찰은 관련 자료를 확보하고 피해 시스템을 분석하는 한편 공격 서버 차단을 위한 국제공조도 병행하고 있다고 설명했다. 해킹 수사는 서버 한 대를 압수해 끝나는 사건과 다르다. 로그 기록과 계정 접속 흔적, 악성코드, 공격에 사용된 중간 서버, 여러 회사에서 발견된 공통 패턴을 시간순으로 맞춰야 한다.
국제공조가 필요한 이유도 여기에 있다. 공격자는 자신의 실제 위치를 감추기 위해 여러 나라의 서버나 임대 인프라를 거쳐 접속할 수 있다. 수사기관이 국내 피해 시스템에서 출발해 공격 경로를 거슬러 올라가려면 해외 서비스 사업자와 수사기관의 협조가 필요할 수 있다. 서버가 차단되더라도 이미 로그가 삭제됐거나 임대가 종료됐을 수 있으므로 초기 증거보전 속도가 중요하다.
또 하나의 쟁점은 10월 2일 출범한 중대범죄수사청과의 관할 문제다. 경찰은 사건이 중대범죄에 해당해 이첩되기 전까지는 경찰이 수사를 진행하며, 이첩 시점 이후에는 중수청이 맡는 구조이므로 ‘사건 핑퐁’이나 수사 공백은 없다고 설명했다. 앞서 경찰은 침해된 시스템이 전자금융거래법상 전자금융기반시설에 해당하는지에 따라 중수청 통보 대상이 될 가능성이 있어 금융위원회에 유권해석을 의뢰한 것으로 보도됐다. 결국 관할 논쟁보다 중요한 것은 디지털 증거를 놓치지 않고 공격자를 지속적으로 추적하는 일이다.
첫 언론 보도 뒤 경찰이 입건 전 조사 착수
경찰은 이후 설명에서 첫 보도 직후 로그 등 필요한 자료 확보를 시작했다고 밝혔다.
28명 규모 전담수사팀 편성
사안의 중대성을 고려해 금융기관 해킹 사건을 집중 수사하는 전담팀이 꾸려졌다.
포렌식·국제공조 15명 보강
공격 경로 분석과 해외 인프라 추적에 필요한 전문 인력을 추가했다.
43명 규모 확대 사실 공개
경찰은 수사 공백 없이 피의자를 추적하고 피해 시스템 분석을 계속하겠다고 밝혔다.
소비자에게 더 가까운 위험은 ‘2차 사기’다
금융당국이 경보를 낸 이유금융위원회는 10월 6일 소비자경보 ‘주의’를 발령했다. 핵심 메시지는 간단하다. 이번 유출에서 비밀번호·OTP 같은 인증정보가 유출된 것으로 확인되지는 않았지만, 이름과 주소 등 개인정보를 조합한 맞춤형 대출빙자 사기가 발생할 가능성에 대비하라는 것이다. 사기범이 내 정보를 정확히 알고 있다는 사실 자체를 신뢰의 근거로 삼아서는 안 된다.
금융당국이 예시로 든 수법은 네 가지다. 첫째, 유출 피해고객에게 금리우대나 특별대출·보상을 해준다는 문자로 링크 클릭과 상담을 유도하는 방식. 둘째, 저금리 대환대출을 해주겠다며 기존 대출을 먼저 갚으라고 하고 특정 계좌로 돈을 보내게 하는 방식. 셋째, 신용점수 상향·거래실적·보증료 등을 이유로 대출 전 선입금을 요구하는 방식. 넷째, 대출신청서 작성이나 보안점검을 이유로 원격제어앱이나 악성앱 설치를 유도하는 방식이다.
여기에 ‘자산을 보호해야 한다’며 안전계좌로 옮기라고 하는 고전적인 사칭 수법도 결합될 수 있다. 금융위원회는 금융당국과 금융회사가 전화·문자로 비밀번호나 인증번호를 요구하지 않고, 피해보상이나 계좌보호를 이유로 자금 이체를 요구하지 않으며, 대출 과정에서 선입금이나 앱 설치를 요구하지 않는다고 안내했다. 이 원칙은 기억해둘 가치가 있다. 상대방이 내 개인정보를 알고 있더라도 이 선을 넘는 요구가 나오면 즉시 통화를 끊고 공식 대표번호로 다시 확인하는 편이 안전하다.
금융회사 공식 안내 확인
내 정보가 실제로 유출됐는지, 어떤 항목이 포함됐는지, 회사가 어떤 보호조치를 제공하는지 먼저 확인한다.
의심 문자 링크는 열지 않기
보상·대환·금리우대 안내라도 문자 속 주소를 누르지 말고 앱이나 공식 홈페이지를 직접 연다.
안심차단서비스 검토
여신거래, 비대면 계좌개설, 오픈뱅킹의 무단 실행을 미리 막는 금융거래 안심차단서비스를 필요에 따라 활용한다.
개인정보노출자 등록 검토
금융감독원 ‘파인’의 개인정보노출자 사고예방 시스템을 이용하면 신규 계좌개설·카드발급 등 명의도용 위험을 낮출 수 있다.
휴대폰 안의 신분정보 정리
주민등록번호, 금융계좌 비밀번호, 신분증 사본처럼 본인인증에 쓰일 정보를 사진첩·메모장에 오래 보관하지 않는다.
피해 의심 시 즉시 중단·신고
보이스피싱 상담은 경찰청 전기통신금융사기 통합대응단 1394, 실제 송금 피해가 생겼다면 112와 금융회사에 즉시 지급정지를 요청한다.
“내 예금도 위험한가?” 불안을 사실과 분리해서 봐야 한다
정보유출과 자금탈취는 같은 사건이 아니다이번 사건 보도를 접한 뒤 가장 먼저 떠오르는 질문은 “내 돈을 다른 은행으로 옮겨야 하나”일 수 있다. 하지만 10월 6일 금융당국 발표 기준으로는 이번 개인정보 유출 사고와 관련해 보이스피싱 등으로 고객 자금이 빠져나간 사례는 확인되지 않았다. 당국은 예금 등 금융자산의 안전을 두고 불필요한 오해를 자제해달라고 안내했다. 이 문장은 ‘아무 위험이 없다’는 뜻이 아니라, 개인정보 유출과 예금 탈취를 같은 사건으로 보지 말라는 뜻에 가깝다.
개인정보 유출은 공격자가 사기를 설계할 재료를 얻게 되는 사건이다. 자금 탈취는 여기에 추가 단계가 더 필요하다. 피해자를 속여 이체하게 하거나, 악성앱을 설치하게 하거나, 인증정보를 훔쳐 비대면 금융거래를 실행하는 식이다. 이 추가 단계를 막으면 2차 피해는 크게 줄일 수 있다. 금융당국이 ‘금융거래 안심차단서비스’와 ‘개인정보노출자 사고예방 시스템’을 강조하는 이유도 명의도용 거래의 마지막 문턱을 높이기 위해서다.
안심차단서비스는 크게 세 종류다. 여신거래 안심차단은 신용대출·카드론·신용카드 발급·할부금융 등 개인 명의 여신거래를 막고, 비대면 계좌개설 안심차단은 범죄조직이 피해자 명의로 대포통장을 여는 위험을 줄이며, 오픈뱅킹 안심차단은 계좌정보 무단조회와 이체 위험을 낮춘다. 금융위원회 자료에 따르면 2026년 8월 말 기준 중복 가입을 포함해 약 700만 명이 이 서비스를 신청했다.
다만 모든 소비자가 즉시 모든 거래를 차단해야 한다는 뜻은 아니다. 가까운 시일 내 신규 대출이나 계좌 개설, 오픈뱅킹 등록 계획이 있다면 차단과 해제를 반복해야 할 수 있다. 중요한 것은 자신의 상황에 맞춰 선택하는 것이다. 유출 통지를 받았거나 의심스러운 연락이 이미 시작됐다면 더 적극적으로 차단을 고려할 수 있고, 별다른 징후가 없더라도 본인이 원한다면 예방 차원에서 신청할 수 있다.
금융당국의 한 달 특별대응: 전담창구·FDS·AI 정보공유
2차 피해가 실제로 생기기 전에 끊는 체계금융당국은 10월 6일부터 한 달을 ‘개인정보 유출 2차피해 특별대응기간’으로 지정했고, 필요하면 기간을 연장할 수 있다고 밝혔다. 같은 날 은행·금융투자·상호금융·여신업권 금융회사와 디지털자산거래소 공동협의체, 금융보안원 등이 참석한 긴급 점검회의도 열었다. 대응의 중심은 유출 자체를 되돌리는 것이 아니라, 유출된 정보가 실제 금융사기로 전환되는 경로를 끊는 데 있다.
첫째는 피해고객 전담창구다. 관련 금융회사가 특별대응기간 동안 상담창구를 운영하고, 정보유출 고객에게 안심차단서비스 가입 등을 적극 안내하도록 했다. 피해 신고가 접수되거나 의심 정황이 생기면 금융당국에 신속히 보고하고 다른 금융회사와도 공유해 피해 확산을 막는 구조다.
둘째는 이상거래탐지시스템, FDS의 강화다. 금융회사들이 유출된 개인정보와 결합된 이상거래를 더 밀착해서 살피고, 해당 고객 명의의 비대면 대출·계좌개설·고액 이체 같은 고위험 거래에서 추가 본인확인을 강화하도록 지도했다. 금융사기가 성공하려면 결국 ‘거래’가 발생해야 한다. 그 순간을 시스템이 잡아내면 피해자에게 확인 전화를 하거나 거래를 보류할 수 있다.
셋째는 보이스피싱 정보공유·분석 AI 플랫폼인 ASAP의 활용이다. 금융회사·통신사·수사기관이 의심정보를 공유해 의심계좌 지급정지 등에 활용하는 체계다. 금융위원회는 이 플랫폼이 2025년 10월 출범 이후 2026년 8월까지 의심정보 50만 건을 공유했고, 의심계좌 7,666개를 지급정지해 약 699억4천만 원의 피해를 예방했다고 밝혔다. 이번 사고에서도 유출정보를 활용한 의심 패턴을 빠르게 공유하는 데 쓰일 예정이다.
유출 여부·보호조치·의심 신고를 한곳에서 안내한다.
비대면 대출·계좌개설·고액이체의 이상 징후를 더 촘촘히 본다.
금융·통신·수사기관 사이 의심정보를 연결해 지급정지를 빠르게 한다.
실제 피해가 확인되면 보상과 구제 절차가 지연되지 않도록 관리한다.
조사 체계도 바뀐다: 개인정보 유출은 ‘예외적 사고’가 아니라 상시 위험
2026년 상반기 신고만 432건이번 금융권 사고는 더 넓은 흐름 속에서 봐야 한다. 개인정보보호위원회는 10월 2일 유출·침해 사건 조사체계를 개편하겠다고 발표하면서 신고 건수가 2022년 167건, 2023년 318건, 2025년 447건으로 증가했고 2026년에는 상반기에만 432건이 접수됐다고 밝혔다. 상반기 반년 동안 이미 전년도 연간 신고 건수에 근접한 셈이다. 대규모 개인정보를 보유한 통신·플랫폼·유통 분야에서 수백만 명 이상이 영향을 받는 사고가 반복되면서 조사 역량을 어디에 집중할지 자체가 정책 문제가 됐다.
개인정보위는 사회적 파급력이 큰 중요사건은 전담조사단 등을 통해 집중 처리하고, 일반·경미 사건은 정형화한 절차로 신속하게 처리하는 방향을 제시했다. 중요사건 12개월, 일반사건 6개월, 경미사건 3개월 이내 처리 원칙도 제시했다. 사고 발생 직후 현장 대응반이 영향 시스템을 파악하고 증거를 보존하며 유출 통지와 추가 피해 방지 조치까지 함께 점검하겠다는 계획이다.
이 변화가 의미 있는 이유는 개인정보 사고의 책임을 ‘해킹당한 회사도 피해자’라는 말만으로 정리하기 어렵게 만들기 때문이다. 공격을 받은 기업이 범죄의 피해자라는 사실과, 고객 정보를 지켜야 할 관리 책임이 있다는 사실은 동시에 성립한다. 취약점을 완전히 없앨 수는 없지만, 접근권한 최소화·다중인증·비정상 조회 탐지·보안패치·협력사 관리·침해 조기 인지 같은 기본조치를 얼마나 성실히 운영했는지는 조사 대상이 된다.
특히 2026년 들어 개인정보 보호 책임·관리체계를 강화하는 법·제도 개편이 진행되면서, 대규모 사고에 대한 기업 경영진과 개인정보보호책임자의 책임성, 인증과 관리체계의 실효성에 대한 사회적 요구도 커졌다. 결국 앞으로의 금융 보안 평가는 “침해가 한 번도 없었는가”가 아니라 “공격면을 줄이고, 침해를 빨리 발견하고, 피해를 작게 묶고, 사실을 투명하게 알렸는가”에 더 가까워질 가능성이 크다.
금융회사가 바꿔야 할 것은 ‘보안 장비’보다 운영의 기본값
다음 사고를 막는 아홉 가지 질문사고가 나면 대개 더 비싼 보안 솔루션과 더 강한 규제가 대책으로 등장한다. 그러나 이번처럼 외부 업무시스템과 계정관리 문제가 중심에 있을 가능성이 큰 사건에서는 운영 설계가 더 중요하다. 첫 번째 질문은 “우리 조직이 인터넷에 노출한 시스템을 모두 알고 있는가”다. 정식 서비스만이 아니라 테스트 페이지, 오래된 관리자 화면, 협력사용 포털, 폐기되지 않은 서버까지 하나의 목록으로 관리해야 한다.
두 번째는 “계정마다 꼭 필요한 정보만 볼 수 있는가”다. 대출모집인이나 외부 협력사가 업무상 100명의 정보만 필요하다면 10만 명을 조회할 권한을 가질 이유가 없다. 세 번째는 “한 계정이 짧은 시간에 비정상적으로 많은 고객정보를 조회하면 바로 탐지되는가”다. 침입을 완벽히 막지 못하더라도 대량 유출 속도를 늦추는 통제가 필요하다.
네 번째는 인증이다. 비밀번호 하나로 외부 업무시스템에 들어갈 수 있다면 공격자는 비밀번호를 얻는 순간 넓은 권한을 확보한다. 다중인증, 기기 신뢰, 접속위치·시간대 이상징후, 위험기반 인증을 조합해야 한다. 다섯 번째는 패치 속도다. 금융위원회가 AI 보안 테스트에서 강조한 것처럼 자동화된 도구는 취약점을 빠르게 찾는다. 조직 내부 승인절차가 몇 주씩 걸리는 동안 공격자는 몇 시간 안에 취약점을 발견할 수 있다.
여섯 번째는 로그의 질이다. 단순히 ‘로그를 저장한다’는 체크리스트로는 부족하다. 누가 어느 고객정보를 언제 조회했고, 평소 패턴과 어떻게 달랐으며, 데이터가 얼마나 내려갔는지 추적할 수 있어야 한다. 일곱 번째는 협력사와 영업조직 관리다. 내부 직원보다 통제가 느슨한 외부 사용자가 같은 정보를 볼 수 있다면 전체 시스템의 보안 수준은 가장 약한 사용자에게 맞춰진다.
여덟 번째는 모의침투와 레드팀 훈련이다. 보안점검은 보고서 한 번으로 끝나는 감사가 아니라 실제 공격 흐름을 가정해 탐지·차단·보고가 얼마나 빠르게 이어지는지 측정해야 한다. 아홉 번째는 공개와 통지의 품질이다. 사고 초기에 무엇이 확정됐고 무엇이 아직 조사 중인지 명확히 구분해 알리면 소비자의 불필요한 공포를 줄이면서도 필요한 조치를 빠르게 유도할 수 있다.
업무시스템·테스트 서버·협력사 포털·오래된 도메인까지 포함해 자동 탐색과 수동 검증을 병행해야 한다.
직무 변경·퇴직·협력 종료 시 권한이 즉시 회수되고, 대량조회가 구조적으로 어렵게 설계돼야 한다.
사고를 ‘막았는지’뿐 아니라 ‘얼마나 빨리 알아챘는지’가 피해 규모를 결정한다.
대출모집인·협력사·유지보수 계정은 업무 필요성 때문에 강한 권한을 받기 쉬워 별도 감시가 필요하다.
독자가 많이 묻는 질문
Q. 이번 사건 때문에 은행 예금을 바로 빼야 하나요?
10월 6일 금융당국 발표 기준 이번 개인정보 유출과 연계해 고객 자금이 유출된 사례는 확인되지 않았습니다. 유출된 정보가 무엇인지 공식 채널에서 확인하고, 의심 연락 차단과 안심차단서비스 등 예방조치를 먼저 검토하는 것이 합리적입니다.
Q. 비밀번호와 OTP도 유출됐나요?
금융위원회 소비자경보는 비밀번호·OTP 정보는 유출되지 않았다고 안내했습니다. 다만 회사별 유출 항목은 다를 수 있으므로 해당 금융회사의 공식 통지 내용을 확인해야 합니다.
Q. 내 이름과 주소를 알고 전화하면 진짜 금융회사 아닌가요?
아닙니다. 유출된 개인정보를 가진 사기범도 정확한 이름·주소·대출 맥락을 말할 수 있습니다. 선입금, 기존대출 상환을 위한 특정계좌 이체, 앱 설치, 비밀번호·인증번호 요구가 나오면 통화를 끊고 공식 대표번호로 다시 확인하세요.
Q. ‘개인정보 유출 보상’ 문자가 왔는데 링크를 눌러도 되나요?
금융당국은 개인정보 유출 안내나 보상을 이유로 불분명한 인터넷 주소를 보내는 메시지를 주의하라고 안내했습니다. 문자 속 링크보다 해당 회사 공식 앱·홈페이지를 직접 여는 방식이 안전합니다.
Q. 금융거래 안심차단서비스는 무엇을 막나요?
여신거래, 비대면 계좌개설, 오픈뱅킹 등 세 종류가 있습니다. 본인 명의로 대출이 실행되거나 새 계좌가 만들어지거나 오픈뱅킹이 무단 등록되는 위험을 줄이기 위한 서비스입니다.
Q. 이미 돈을 보냈다면 어떻게 해야 하나요?
즉시 112와 해당 금융회사 콜센터에 연락해 지급정지를 요청하는 것이 우선입니다. 보이스피싱 피해 상담은 경찰청 전기통신금융사기 통합대응단 1394를 이용할 수 있습니다.
주요 확인 자료
- 금융위원회, 「최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요」, 2026년 10월 6일. 공식 보도자료
- 개인정보보호위원회, 「개인정보 유출·침해사고, 더 빠르게 더 공정하게 더 투명하게 조사」, 2026년 10월 2일. 공식 보도자료
- 금융위원회, 「보다 다양한 금융회사들이 AI 보안위협에 철저히 대비할 수 있도록 제2차 망분리 규제 긴급 완화 조치를 추진합니다」, 2026년 9월 3일. 공식 보도자료
- 연합뉴스, 「경찰, 금융기관 해킹 수사팀 43명으로 확대…전문 인력 확충」, 2026년 10월 9일. 기사
- 뉴시스, 「수천억 쏟고도 '쪽문' 못 지켰다…은행은 왜 뚫렸나」, 2026년 10월 9일. 기사
- 뉴시스, 「'금융권 연쇄 해킹' 공격자 추적 본격화…경찰 28명 투입」, 2026년 10월 6일. 기사
댓글
댓글 쓰기