이억원 금융위원장은 2026년 10월 4일 정부서울청사에서 전 금융권 긴급 점검회의를 열고, 은행·저축은행·캐피탈 등 여러 업권에서 침해사고가 단기간에 잇따르고 있다며 금융권에 최고 수준의 경각심을 주문했습니다. 인공지능(AI)을 활용한 공격 가능성도 배제할 수 없다는 설명입니다. 다만 현재까지 부정결제 등에 직접 쓰일 수 있는 민감한 고객정보가 유출된 정황은 확인되지 않았다고 밝혔습니다.

배경과 맥락

이번 사고에서 주목되는 점은 고객이 직접 이용하는 인터넷·모바일뱅킹보다 업무지원용 시스템, 외부 웹페이지와 서버 등 상대적으로 관리의 관심이 덜했던 영역이 공격 대상으로 거론됐다는 것입니다. 이 위원장은 대출모집인이나 임직원이 업무 편의를 위해 쓰는 외부 페이지와 서버가 공격에 활용된 사례가 확인됐다고 설명했습니다. 금융사 내부의 핵심 거래 시스템이 아니더라도, 연결된 업무 환경의 빈틈이 개인정보 노출로 이어질 수 있다는 의미입니다.

10월 4일 회의에서 이 위원장은 금융권에 이미 공유된 공격 정보와 사고 사례가 있는데도 필요한 점검과 대응을 소홀히 해 유사 사고가 발생하면 관련 법령에 따라 엄정히 책임을 묻겠다고 밝혔습니다. 은행·금융투자·보험·여전·저축은행·상호금융·가상자산·핀테크 업권 협회장들과 침해사고가 발생한 금융사 임원들이 회의에 참석했습니다. 이재명 대통령도 금융기관과 공공기관의 개인정보 유출 사고 및 대응 현황을 보고받고 철저한 조사와 대책 마련을 지시했다고 전해졌습니다.

다른 보도에서 확인된 정보유출 사례에는 신한은행 고객 약 2만5000명의 이름·전화번호·연소득·직장명·일부 주민등록번호, KB국민은행 고객 119명, 하나은행 고객 89명의 정보가 포함됐습니다. 부산은행에서는 외주 개발직원 11명의 정보가 노출됐다고 보도됐습니다. 예가람저축은행은 고객 약 4만명의 이름·생년월일·연락처가 유출됐다고 발표했고, 현대캐피탈에서는 대출모집인 146명의 정보가 유출된 사실을 인지했다고 전해졌습니다.

이 소식이 뜻하는 것

하지만 이름이나 연락처에 소득·직장·대출 관련 정보가 더해지면, 상대가 실제 금융상담 내용을 아는 것처럼 접근하는 보이스피싱이나 스미싱에 악용될 수 있습니다. 따라서 위험은 ‘계좌 접근’에만 국한되지 않고, 유출 정보로 사기 연락의 신빙성을 높이는 데까지 이어질 수 있다는 점에서 주목됩니다.

예를 들어 금융사에서 대출 상담을 받은 사람이 관련 정보 유출 대상이라면, 상담 내용을 알고 있는 듯한 전화나 문자를 받았을 때 실제 금융사 연락으로 오인할 가능성이 있습니다. 이는 가능성을 설명하는 가정이며, 특정 고객이 실제로 이런 연락을 받았다는 뜻은 아닙니다. 이 위원장도 유출 정보를 악용한 보이스피싱·스미싱 등 2차 피해 가능성을 배제할 수 없다고 말했습니다.

금융사에는 기술적 방어뿐 아니라 외부 페이지·서버와 업무지원 시스템까지 점검하고, 알려진 공격 정보에 대응했는지 살펴야 할 책임이 제기됩니다. 당국은 점검과 대응을 소홀히 한 유사 사고에 법령에 따른 책임을 묻겠다고 했습니다. 금융사들이 개별 통지와 피해 예방 안내를 하고 있다는 보도도 있어, 정보가 유출됐다는 통지를 받은 고객에게는 안내 내용과 실제 피해 발생 시 보상 방침을 확인하는 일이 중요합니다.

보도마다 다르게 전한 점

보도 시점과 다룬 범위에 따라 ‘정보 유출이 확인된 곳’의 목록이 다릅니다. 금융위원장 회의 관련 보도는 신한·KB국민·하나·BNK부산은행과 현대캐피탈·예가람저축은행·웰컴저축은행을 유출 확인 사례로 들었습니다. 다른 보도는 우리은행·NH농협은행에도 유사한 공격이 있었지만 실제 유출로 이어지지 않았다고 전했고, 새마을금고중앙회와 농협 상호금융의 침입 시도도 소개했습니다. 따라서 공격을 받았거나 시도가 있었던 곳과 정보 유출이 확인된 곳을 구분해야 합니다.

웰컴저축은행은 전날 자체 점검에서 법인고객 관련 정보가 최대 2200건 유출된 것으로 추정된다고 당국에 보고했습니다. 이는 다른 보도에서 상세히 다룬 개인 고객 정보 유출 건수와 대상·정보 종류가 다르므로, 하나의 전체 피해 규모로 합산하거나 비교할 수 없습니다. 각 금융사별 최종 유출 범위가 확정됐는지도 제공된 보도만으로는 알 수 없습니다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 금융위원장은 10월 4일 전 금융권 긴급 점검회의를 열고 최고 수준의 경각심을 주문했습니다.
  • 외부 웹페이지·서버와 업무지원 시스템 등 상대적으로 관리의 관심이 덜했던 영역이 공격 대상이 된 사례가 확인됐습니다.
  • 금융위원장은 현재까지 부정결제 등에 직접 활용될 민감한 고객정보의 유출 정황은 확인되지 않았다고 말했습니다.
  • 웰컴저축은행은 법인고객 관련 정보 최대 2200건이 유출된 것으로 추정된다고 당국에 보고했습니다.

아직 알 수 없는 것

  • 공격의 배후와 구체적인 침입 경로가 무엇인지 확인되지 않았습니다.
  • 각 금융사에서 유출된 정보의 종류와 전체 규모가 최종 확정됐는지 알 수 없습니다.
  • AI가 실제 공격에 사용됐는지도 확인되지 않았습니다.

독자가 확인할 것

  • 금융사로부터 정보 유출 안내를 받았다면 어떤 정보가 언제 노출됐는지, 본인 정보가 대상에 포함됐는지 확인하세요.
  • 안내받은 예방 조치와 피해 발생 시 보상 방침을 확인하고, 금융사 이름을 내세운 의심스러운 전화·문자에 대해서는 해당 금융사의 공식적인 확인 경로를 통해 사실 여부를 살펴보세요.
  • 금융사에는 피해 고객에게 개별적으로 유출 사실과 2차 피해 예방 방법을 안내하고, 이번 정보 유출로 피해가 발생하면 전액 보상한다는 방침이 보도됐습니다. 실제 적용 조건과 절차는 해당 금융사의 안내에서 확인해야 합니다.

참고 자료