'금융사 해킹' 산은캐피탈·DB저축은행 등 16곳으로 확대…10만건 유출(종합)

산은캐피탈 고객 848명 정보 유출…DB저축은행 "해킹시도 차단"

금융사 555곳 중 130곳 보안 미흡…패치·관제체계 취약

대형 금융사 취약점 점검 연 2회 확대…CEO 책임 강화 추진

[서울=뉴시스] 최진석 기자 = 시중은행에 이어 저축은행과 캐피탈사 등 제2금융권까지 해킹 사고가 잇따르고 있는 4일 서초구 서울고속버스터미널에 개인정보가 유출된 신한·KB국민·하나 은행의 현금 자동 입출금기(ATM) 코너가 보이고 있다. 최근 주요 금융회사들을 대상으로 인공지능(AI) 에이전트를 활용한 신종 사이버 공격과 고객 정보 유출 사고가 이어지며 신한은행에서는 최근 고객 약 2만5000명의 개인·신용정보가, KB국민은행에서도 외부 보안 침해로 고객 119명의 개인신용정보가, 하나은행에서도 외부 해킹 세력이 영업지원시스템(ODS)에 접근하면서 고객 89명의 개인정보가 유출됐다. 2026.10.04. [email protected]

[서울=뉴시스]김민수 기자 = 금융권에서 잇따른 해킹 공격으로 금융회사 16곳에서 침해사고가 발생한 것으로 파악됐다. 현재까지 확인된 개인정보 유출 규모는 약 10만건에 달한다.

금융회사 555곳을 대상으로 이뤄진 긴급 보안점검에서는 130곳이 보안패치 미적용 등 일부 미흡사항을 보고했다. 금융당국은 금융회사의 보안체계 전반에 대한 전수점검에 나서기로 했다.

금융위원회는 14일 오후 정부서울청사에서 신진창 사무처장 주재로 금융감독원, 금융보안원, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 경찰청 등 관계기관이 참석한 가운데 '제2차 긴급 상황대응 회의'를 개최하고 이 같은 내용의 침해사고 점검 결과를 발표했다.

금융권 16개사 침해사고·개인정보 10만건 유출…산은캐피탈·DB저축은행도

금융당국에 따르면 최근 신한은행 침해사고 전후로 해킹 사고가 확인된 금융회사는 은행과 저축은행, 상호금융, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 전 업권에 걸쳐 총 16곳이다.

은행권에서는 신한·KB국민·BNK부산·하나은행 등 4곳, 저축은행에서는 예가람·웰컴·DB·OK저축은행 등 4곳에서 사고가 확인됐다.

여신전문금융업권에서는 현대캐피탈과 산은캐피탈, 온라인투자연계금융업권에서는 PFCT와 모우다, 전자금융업권에서는 브라이트픽스가 포함됐다. 가상자산사업자인 스트리미와 프라뱅, 상호금융업권의 새마을금고중앙회에서도 사고가 발생했다.

이 가운데 산은캐피탈은 홈페이지에 게시한 고객 안내문을 통해 지난 12일 외부의 비정상적인 접근 경로를 통한 일부 시스템 접속으로 고객 848명의 개인정보가 유출된 사실을 확인했다고 밝혔다. 유출된 정보는 성명과 주민등록번호, 생년월일 등 3개 항목이다.

산은캐피탈은 유출 사실을 인지한 즉시 해당 인터넷프로토콜(IP) 등 불법 접속 경로를 차단하고 비정상 접근 모니터링을 강화했다고 설명했다. 유출이 확인된 고객 가운데 개별 연락이 가능한 고객들에게 관련 사실을 통지하고, 명의도용과 보이스피싱 등 2차 피해에 주의할 것을 당부했다.

DB저축은행도 홈페이지를 통해 해킹 시도가 발생한 사실을 알렸다. 다만 보안시스템에 의해 해킹 시도가 차단됐으며 일반 고객정보 유출은 없었다고 밝혔다.

DB저축은행은 "해킹시도에 이용된 소수 관련인에게는 해당 내용을 안내했다"며 "비정상 조회·접근 차단, 불량 IP 차단, 거래집중 모니터링 등 다양한 보안조치를 시행하고 있다"고 설명했다.

금융당국은 현재까지 확인된 금융권 개인정보 유출 규모가 약 10만건에 달하는 것으로 파악했다. 유출 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐으나 계좌 비밀번호와 카드번호 등 직접적인 부정결제 우려가 있는 정보의 유출은 확인되지 않았다.

금융회사들이 공유된 공격자 IP 등을 토대로 추가 침해 여부를 확인하고 있어 사고 발생 회사가 더 늘어날 가능성도 있다.

현재 금감원과 금융보안원은 현장조사 등을 통해 침해 경로와 공격방식을 파악하고 있다. 개별 사고 간 연관성과 동일한 공격 주체의 소행인지 여부, 인공지능(AI)을 활용한 해킹 가능성 등도 정밀 조사 중이다.

금융사 555곳 중 130곳 보안 미흡…패치·관제체계 취약

금융당국이 지난 8일까지 금융회사 555곳을 대상으로 실시한 12개 항목의 보안 체크리스트 점검 결과, 425곳은 적정하다고 보고했으며 130곳은 일부 항목에서 미흡사항이 있다고 보고했다.

미흡사항이 발견된 금융회사 대부분은 보안패치와 관제체계 관련 1~2개 항목에서 보완이 필요한 것으로 나타났다. 특히 상대적으로 보안 역량이 취약한 전자금융업과 온라인투자연계금융업 부문에서 미흡사항이 비교적 많이 발견됐다.

주요 문제점으로는 최신 보안패치 미적용, 제조사 기술지원이 종료된 노후 시스템 관리 미흡, 24시간 실시간 보안관제체계 미구축 등이 지적됐다.

외부에 노출된 시스템의 인증·인가 절차가 누락되거나 중요 서비스에 다중요소인증(MFA)이 도입되지 않은 사례도 확인됐다.

금융당국은 미흡사항이 발견된 금융회사들이 보안패치 적용과 노후 장비 교체, 보안관제 인력·설비 확충, 접근통제 강화 등의 보완조치 실행계획을 제출하고 즉시 조치를 시행 중이라고 설명했다.

[서울=뉴시스] 박영태 기자 = 4일 오후 서울 종로구 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 이억원 금융위원장이 모두발언을 하고 있다. 2026.10.04. [email protected]

금융권 보안체계 전수점검…대형 금융사 점검 주기 확대

금융당국은 이번 점검에서 드러난 취약점이 반복되지 않도록 금융권 보안관리체계 전반을 개편할 방침이다.

우선 기존 12개 항목의 긴급 점검에서 나아가 금융회사의 보안체계와 관리시스템 전반에 대한 전수점검을 추진한다.

외부와 연결되는 전산시스템의 모든 접점을 목록화하고 인증·접근통제 권한을 엄격히 관리하도록 할 계획이다. 외부접점 관리와 관련한 CEO, 최고정보보호책임자(CISO), 최고정보책임자(CIO) 등의 보고체계와 책임범위도 명확히 한다.

현재 금융회사와 전자금융업자는 전자금융거래법 등에 따라 연 1회, 외부 홈페이지는 연 2회 취약점 점검·평가를 실시해야 한다.

금융당국은 고객 수가 많고 외부접점이 넓은 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 확대하고, 중요한 외부접점을 필수 점검대상에 포함하는 방안을 추진한다. 긴급한 경우 수시점검을 실시할 수 있는 근거도 마련하는 방안을 검토한다.

금융당국은 보안점검 권고가 실제 현장에서 제대로 이행되도록 CEO 책임 강화와 제재 실효성 제고를 위한 제도 개선도 추진할 방침이다.

AI 해킹위협 공동대응 강화…중소형 금융사 지원 확대

금융권의 해킹위협 공동 대응체계도 강화한다.

현재 금감원과 금융보안원이 파악한 해킹위협 정보는 통합관제시스템(FIRST) 등을 통해 금융권에 전파되고 있지만 개별 금융회사가 자체적으로 탐지한 위협정보는 공유되지 않고 있다.

이에 금융회사들이 자체적으로 파악한 위협정보도 통합관제시스템을 통해 공유할 수 있도록 개선하고, 금융회사가 침해위협 수준을 직관적으로 확인하고 대응할 수 있는 AI 위협수준 정보체계도 마련할 예정이다.

AI를 활용해 외부 노출 자산과 내부 소스코드, 모바일 애플리케이션 등의 취약점을 탐지하는 점검 인프라도 구축한다.

자체 보안 역량이 부족한 중소형 금융회사에 대한 지원도 확대한다. 금융보안원과 업권별 협회·중앙회가 AI 기반 공동 보안관제시스템을 구축하는 방안을 검토하고, 중소형 금융회사에 맞춘 보안안내서도 마련할 예정이다.

전자금융거래법 적용 대상에서 제외돼 상대적으로 보안관리가 어려웠던 대부업체와 보험대리점(GA) 등에 대해서도 보안위협 대응 요령을 전파하는 등 관리 강화 방안을 추진한다.

신진창 금융위 사무처장은 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라며 "금융회사 외부접점·인증관리 등 공격표면 관리뿐 아니라 전 금융권의 보안관제체계, CEO·이사회 등 책임성 확보 등 보안체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다하겠다"고 밝혔다.

이어 "AI 보안위협 확대에 대비해 'AI 공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 덧붙였다.


◎공감언론 뉴시스 [email protected]