10월 1일 신한은행이 고객 약 2만 5천 명의 대출 관련 개인·신용정보 유출을 밝힌 뒤, 국민·하나·부산은행과 저축은행·캐피탈로 신고가 이어졌습니다. 금융위원회는 10월 4일 정부서울청사에서 금융권 전체를 대상으로 긴급점검회의를 열었습니다. 이 글은 금융권 해킹으로 검색하는 사람이 가장 먼저 묻는 질문, 즉 어디가 얼마나 유출됐는지, 인터넷뱅킹이 뚫린 것인지, 지금 문자를 눌러도 되는지를 확인된 발표와 아직 단정할 수 없는 주장으로 나눠 정리합니다.
한눈에 결론
- 가장 큰 확인 규모는 신한은행 약 2만 5천 명, 예가람저축은행 약 4만 명(추산, 정확한 수는 확인 중)입니다.
- 은행들이 밝힌 침해 지점은 고객 인터넷뱅킹이 아니라 대출 모집인·직원 업무지원·외부 페이지 쪽이 많습니다.
- 금융위원장은 결제에 바로 쓸 민감정보 유출 증거는 현재까지 확인되지 않았다고 했습니다. 보이스피싱·스미싱 가능성은 배제하지 않았습니다.
- 유출 안내를 가장한 문자 링크는 열지 말고, 은행 앱이나 공식 공지로만 본인 해당 여부를 확인하는 편이 안전합니다.
금융권 해킹, 지금까지 숫자로 확인된 범위
금융권 해킹의 규모는 기관마다 발표 방식이 다릅니다. 신한은행은 10월 1일 고객 약 2만 5천 명의 유출을 확인했다고 밝혔습니다. 금융감독원은 9월 30일 오후 은행 보고를 받고 현장점검에 들어갔습니다. 유출 항목은 고객명, 전화번호, 연소득, 산출 한도 등 대출 신청 과정에서 모인 개인·신용정보입니다. 주민등록번호 66건, 연계정보(CI) 97건도 포함됐다고 은행이 설명했습니다.
KB국민은행은 10월 2일 고객 119명의 개인·신용정보 유출을 알렸습니다. 항목은 고객마다 다르며 이름, 전화번호, 주소, 암호화된 주민등록번호가 포함됩니다. 은행은 9월 30일 밤 비정상 외부 접근을 인지한 뒤 서버와 접근 경로를 막았다고 했습니다. 하나은행은 같은 날 89명의 개인정보가 영업지원 시스템 쪽에서 노출됐다고 밝혔습니다. BNK부산은행은 외주 개발직원 11명의 이름, 전화번호, 생년월일, 이메일이 외부 페이지에서 노출됐습니다.
제2금융권에서는 숫자가 더 큽니다. 예가람저축은행은 10월 2일 대표이사 명의 안내에서, 9월 30일 고객 개인정보가 든 서버에 신원 미상 접근과 유출 정황을 확인했다고 올렸습니다. 성명, 생년월일, 연락처가 대상이고 피해 규모는 약 4만 명으로 추산되며 정확한 수는 추가 확인 중이라고 했습니다. 현대캐피탈은 주택담보대출 모집인 조회 페이지가 공격받아 모집인 146명의 이름, 휴대전화, 주민등록번호가 노출됐다고 전했습니다. 소매 고객 정보와 내부 시스템 침해는 없었다고 회사 측이 설명했습니다. 웰컴저축은행은 자체 점검에서 법인고객 관련 정보 최대 2,200건 유출을 추정해 당국에 보고한 것으로 전해집니다. 이 2,200건은 은행 공식 집계가 아니라 금융권 추정치이므로 확정 규모로 보면 안 됩니다.
SBS는 10월 4일, 현재까지 확인된 개인정보 유출 규모가 6만 명을 넘는다고 보도했습니다. 신한 약 2만 5천 명과 예가람 추산 약 4만 명을 더하면 이 범위에 들어갑니다. 다만 예가람 수치는 아직 추산입니다.
| 기관 | 공개된 규모 | 알려진 항목 | 상태 |
|---|---|---|---|
| 신한은행 | 약 2만 5천 명 | 이름, 전화, 연소득, 산출 한도, 주민번호 66건, CI 97건 | 은행 발표 |
| 예가람저축은행 | 약 4만 명 | 성명, 생년월일, 연락처 | 추산, 정확한 수 확인 중 |
| KB국민은행 | 119명 | 이름, 전화, 주소, 암호화된 주민번호 | 은행 발표 |
| 하나은행 | 89명 | 개인정보(영업지원 시스템) | 은행 발표 |
| 현대캐피탈 | 모집인 146명 | 이름, 휴대전화, 주민번호 | 소매 고객 유출은 없다고 설명 |
| BNK부산은행 | 외주 직원 11명 | 이름, 전화, 생년월일, 이메일 | 은행 확인 |
| 웰컴저축은행 | 법인 정보 최대 2,200건 | 법인명, 담당자명, 이메일, 전화 | 추정, 공식 집계 아님 |
인터넷뱅킹이 뚫린 사고인가
신한은행은 외부에서 인증을 우회하는 비정상 접근으로 일부 서비스에 들어간 사고라고 설명했습니다. 아시아경제는 고객이 쓰는 대표 홈페이지가 아니라 대출 모집인이 업무에 쓰는 별도 시스템이라고 전했습니다. 국민은행은 직원용 모바일 업무지원시스템이 대상이며 인터넷뱅킹·모바일뱅킹과는 관계가 없다고 했습니다. 하나은행 역시 영업지원 시스템, 부산은행은 외부 페이지, 현대캐피탈은 모집인 조회 페이지로 보도됐습니다.
그래서 “내 뱅킹 앱 로그인이 털렸다”와 “대출 상담·모집인용 화면에서 신청 정보가 빠졌다”는 다른 사건입니다. 현재까지 은행 설명은 후자에 가깝습니다. 다만 외곽 시스템에 연소득, 대출 한도, 일부 주민등록번호가 있었다면 거래 비밀번호가 안 빠져도 보이스피싱 재료는 됩니다. 핵심 뱅킹이 안전하다는 말과 고객 피해가 없다는 말을 같은 뜻으로 보면 안 됩니다.
우리은행과 NH농협은행은 외부 공격 시도가 있었으나 침입 차단이 작동해 고객정보 유출은 확인되지 않았다고 10월 2일 업계 보도로 전해졌습니다. 증권·보험·카드와 IBK기업은행, 한국수출입은행에서는 같은 공격 흔적이 확인되지 않았다는 전언도 있습니다. 이건 “안전하다”는 공식 결론이 아니라, 10월 4일 시점의 미확인입니다. 금융당국은 아직 보고되지 않은 추가 시도와 유출이 나올 수 있다고 보고 일정을 앞당겼습니다.
10월 4일 긴급점검이 집어낸 빈틈
금융위원장 이억원과 금융감독원장 이찬진은 10월 4일 정부서울청사에서 협회장과 사고 금융사 대표를 불러 긴급점검회의를 열었습니다. 금융보안원장도 참석했습니다. SBS에 따르면 당국은 연휴를 고려해 자체 점검 결과를 10월 7일에 받으려 했으나, 저축은행과 캐피탈로 피해가 번지자 일정을 당겼습니다. 10월 2일에는 이미 사무처장 주재 대응회의에서 공격 정보를 공유하고 점검표를 배포한 상태였습니다.
위원장이 짚은 공통점은 핵심 전산망보다 관리가 느슨했던 외부 접점입니다. 대출 모집인과 직원이 업무 편의를 위해 쓰던 외부 웹페이지와 서버가 공격 대상이 된 사례가 확인됐다고 했습니다. 인증이 빠지거나, 업무에 필요한 범위를 넘어 정보를 저장·조회한 지점도 사각지대로 언급됐습니다. 회의에서 내린 대응 원칙은 꼭 필요하지 않은 외부 접속은 막고, 불가피하면 권한과 정보를 최소로 줄이라는 쪽이었습니다.
이재명 대통령은 같은 날 보고를 받은 뒤 엄중한 인식으로 조사와 대책을 마련하라고 지시했다고 강유정 청와대 수석대변인이 전했습니다. 책임 문제와 과징금, 신용정보법 위반 여부는 현장점검 결과에 달려 있습니다. 금감원은 신한 사고를 신용정보법 위반 소지가 있는 사안으로 보고 점검 중이라고 아시아경제가 전했습니다. 확정 처분은 아직 나오지 않았습니다.
보이스피싱으로 이어질 정보와 아직 아닌 정보
금융위원장은 사기 결제에 직접 쓸 수 있는 민감정보 유출 증거는 현재까지 확인되지 않았다고 했습니다. 동시에 유출 정보를 이용한 보이스피싱과 스미싱 같은 2차 피해 가능성은 배제할 수 없다고 했습니다. 이 구분이 고객에게는 더 중요합니다. 카드 번호나 계좌 비밀번호가 빠져야만 피해가 생기는 것이 아닙니다. 이름, 전화번호, 연소득, 대출 한도를 아는 전화는 “은행에서 한도 상향 심사를 한다”는 식으로 믿게 만들기 쉽습니다.
신한은행장 정상혁은 손해 전액 보상을 약속했고, 국민은행도 피해가 확인되면 전액 보상하겠다고 했습니다. 보상은 유출 사실 자체가 아니라 그로 인한 손해가 확인될 때 적용되는 약속입니다. 의심 송금이 있었다면 은행 공식 상담 창구에 시각과 금액, 상대 계좌를 남겨 두는 편이 낫습니다.
팩트체크: “AI가 은행을 해킹했다”
- 현재 판정: 공식 미확인. 일부 정황 보도는 있음.
- 확인된 부분: 금융위원장이 AI를 이용한 공격 가능성을 배제할 수 없다고 말한 것. 여러 기관에서 짧은 시간에 외부 접점 공격이 보고된 것.
- 미확인 부분: 특정 AI 도구가 실제로 쓰였는지, 동일 공격자인지, 자동화 스캔인지.
- 조선비즈는 공격에 쓰인 웹서버 HTML 제목에서 ‘ARTEX’ 관련 문자열을 정황으로 전했습니다. 보안업체 언급이지 금융당국 결론은 아닙니다.
- 현대캐피탈 공격을 AI로 봤다는 10월 3일 보도도 금융권 전언입니다. 회사의 확정 기술 분석으로 단정하지 않습니다.
내 계좌를 지키려면 어디부터 보면 되나
해당 여부는 기관이 개별 통지하거나 앱에서 조회하게 하는 경우가 많습니다. 신한은행은 10월 1일 중 신한 슈퍼SOL 앱에서도 유출 여부를 볼 수 있게 하겠다고 했습니다. 정확한 메뉴 이름은 앱 업데이트에 따라 달라질 수 있으니, 문자에 적힌 주소가 아니라 직접 설치한 앱이나 은행 홈페이지 공지에서 확인하는 것이 맞습니다. 국민은행은 유출 고객에게 개별 통지하고 전담 상담센터를 연다고 했습니다. 예가람저축은행도 문자 안내와 별도 고객센터를 예고했습니다.
- 은행 이름과 비슷한 문자, 카카오톡 링크는 열지 않습니다. 유출 안내를 가장한 2차 문자가 이번 사고의 현실적인 위험입니다.
- 이미 설치한 은행 앱 또는 주소창에 직접 입력한 공식 홈페이지에서 공지와 유출 조회만 봅니다.
- 본인 해당 안내가 오면 이름, 전화, 소득, 대출 한도를 아는 전화를 은행 본인 확인으로 받아들이지 않습니다. 은행은 전화로 비밀번호나 인증번호를 받지 않습니다.
- 다른 사이트와 같은 비밀번호를 썼다면 그 비밀번호부터 바꿉니다. 이번 발표에 계정 비밀번호 유출이 포함됐다는 근거는 없지만, 재사용 비밀번호는 별도 위험입니다.
- 이상 출금이 있으면 앱 공식 채널로 지급 정지와 신고를 하고, 시각·금액·상대 계좌를 남깁니다.
누구에게 더 해당하나요. 최근 대출 상담을 했거나 모집인을 통해 한도를 조회한 신한은행 고객, 예가람저축은행 고객, 국민·하나은행에서 개별 문자를 받은 사람입니다. 단순히 해당 은행 계좌가 있다는 이유만으로 2만 5천 명 안에 들어간 것은 아닙니다. 반대로 계좌이체 내역이 조용하다고 해서 이름과 전화번호가 안 빠진 것도 아닙니다.
아직 사실로 쓰면 안 되는 주장
첫째, 5대 시중은행이 모두 고객정보를 잃었다는 말은 10월 4일 기준으로 맞지 않습니다. 우리은행과 농협은행은 시도는 있었으나 유출은 확인되지 않았다는 보도가 있습니다. 둘째, AI 공격이 확정됐다는 말은 당국 발표가 아닙니다. 셋째, 웰컴저축은행 2,200건과 예가람 4만 명은 확정 집계가 아닙니다. 넷째, 카드 결제정보나 뱅킹 비밀번호가 대량으로 빠졌다는 근거는 위원장 발언과 어긋납니다. 조사 중이므로 “절대 없다”가 아니라 “현재까지 증거가 확인되지 않았다”가 정확한 표현입니다.
고객이 다음에 볼 지점은 각 은행의 최종 유출 인원, 개별 통지 완료 여부, 금감원 점검에서 인증 우회 경로가 어디까지 재현되는가입니다. 기관이 볼 지점은 외부에 열어 둔 모집인·직원 페이지에 주민번호와 소득이 업무 범위를 넘어 남아 있었는지입니다. 핵심 전산만 잠그고 바깥 화면을 그대로 두면 같은 유형이 반복될 수 있습니다.
자주 묻는 질문
통장 잔액이 그대로면 해당이 없나요. 아닙니다. 이번 발표의 중심은 거래 비밀번호 탈취가 아니라 대출·업무 화면의 개인·신용정보입니다. 잔액과 별도로 공식 조회를 보는 편이 맞습니다.
보상은 자동으로 들어오나요. 신한·국민은행은 이번 유출로 손해가 확인되면 전액 보상하겠다고 했습니다. 유출 통지 자체가 입금으로 이어진다는 발표는 없습니다.
다른 은행도 미리 비밀번호를 바꿔야 하나요. 필수는 아닙니다. 다만 여러 금융 앱에 같은 비밀번호를 쓰고 있다면, 이번 사고와 무관하게 분리하는 편이 낫습니다.
확인일: 2026년 10월 4일. 유출 인원은 기관 추가 집계로 바뀔 수 있습니다.
주요 출처: 코리아타임스 신한은행 보도, 알파경제 국민은행 설명, 서울경제 현대캐피탈·예가람, 연합인포맥스 10월 4일 회의, SBS 10월 4일.