은행 해킹 사고가 9월 말부터 잇달아 확인됐다. 신한은행에서 약 2만5,000명, KB국민은행에서 119명, 하나은행에서 89명의 고객 정보가 빠져나갔고 BNK부산은행에서는 외주 개발 인력 11명의 정보가 유출됐다. 우리은행과 NH농협은행도 공격을 받았지만 막아 냈다. 계좌 비밀번호나 거래 정보는 빠져나가지 않은 것으로 알려졌지만, 주민등록번호와 연락처가 노출된 만큼 2차 피해에는 대비해야 한다.
💬 자주 보이는 상황 — “은행에서 개인정보가 유출됐다는 문자를 받았어요. 통장에 있는 돈이 빠져나갈 수도 있는 건가요?”
은행별로 무엇이 새 나갔나
| 은행 | 공격 경로 | 피해 규모 | 유출 항목(보도 기준) |
|---|---|---|---|
| 신한은행 | 대출모집인용 모바일 플랫폼 | 약 2만5,000명 | 은행 개별 안내로 확인 필요 |
| KB국민은행 | 직원용 모바일 업무지원시스템 | 고객 119명 | 이름, 주민등록번호(암호화), 주소, 전화번호 |
| 하나은행 | 영업지원시스템(ODS) | 고객 89명 | 이름, 주민등록번호, 주소, 이메일, 전화번호, 직장명 |
| BNK부산은행 | 모바일 영업지원시스템 | 외주 개발직원 11명 | 이름, 전화번호, 생년월일 |
| 우리·NH농협은행 | 공격 시도 | 유출 없음 | – |
표는 10월 3일까지 보도된 내용이다. 조사가 진행되면서 피해 규모나 항목이 바뀔 수 있으니 최종 내용은 각 은행 공지를 확인하는 것이 정확하다.
은행 해킹, 왜 업무지원시스템이 뚫렸나
이번 은행 해킹 공격은 고객이 돈을 보내고 받는 핵심 거래 시스템이 아니라 직원, 대출모집인, 외주 인력이 쓰는 업무지원 시스템을 파고들었다. 외부 인터넷과 맞닿은 접점이 많고, 핵심 시스템보다 보안 관리가 느슨해지기 쉬운 곳이다.
보안 전문가들은 AI를 활용해 외부에 노출된 시스템을 빠르게 훑고 취약점을 자동으로 찾는 방식이 쓰였을 가능성을 지적했다. 다른 곳에서 유출된 아이디와 비밀번호를 대입해 로그인을 시도하는 ‘크리덴셜 스터핑’이 자동화됐을 수 있다는 분석도 나왔다. 사람이 하나씩 시도하던 공격을 기계가 대신하면서 짧은 기간에 여러 은행이 동시에 표적이 된 셈이다.
내 통장의 돈은 안전한가
하나은행은 금융거래와 관련한 정보는 유출되지 않았다고 밝혔고, 보도된 유출 항목에도 계좌 비밀번호나 OTP 정보는 없다. 이 정보만으로 계좌에서 돈을 빼내기는 어렵다. 피해 은행들은 고객에게 개별 통지하고 사고로 금전 피해가 생기면 전액 보상하겠다는 방침을 밝혔다.
은행 해킹 이후 더 걱정할 부분은 2차 피해다. 이름, 주민등록번호, 주소, 직장명이 한꺼번에 알려지면 은행이나 수사기관을 사칭한 연락이 훨씬 그럴듯해진다. 유출 사실을 알고 있는 것처럼 접근해 ‘보상 절차’를 안내하며 앱 설치나 계좌 정보를 요구하는 방식에 특히 주의해야 한다.
지금 바로 해 둘 수 있는 확인과 차단
| 할 일 | 어디서 | 효과 |
|---|---|---|
| 유출 대상 여부 확인 | 은행 공식 앱, 대표번호 | 문자 속 링크 대신 직접 확인 |
| 개인정보노출자 등록 | 금융감독원 개인정보노출자 사고예방시스템 | 참여 금융회사에서 내 명의 신규 거래 시 본인 확인 강화 |
| 명의도용 방지 | 엠세이퍼 | 내 명의 휴대폰 신규 개통 차단·조회 |
| 계좌 조회 | 계좌정보통합관리서비스(어카운트인포) | 내 명의로 열린 계좌 한 번에 확인 |
| 비밀번호 변경 | 금융 앱부터 | 같은 비밀번호 재사용을 노리는 공격 차단 |
💡 팁 — 개인정보노출자로 등록하면 대출이나 계좌 개설 때 본인 확인이 까다로워져 번거로울 수 있다. 당분간 새 금융거래 계획이 없다면 부담이 적고, 필요할 때 해제할 수 있다.
은행 해킹 이후 남은 쟁점
금융위원회는 긴급 회의를 열어 은행마다 외부에 노출된 IT 자산을 파악하고 침해 시도 감시를 강화하라고 지시했다. 10월 7일 추가 회의에서 공격 수법을 분석하고 제도 개선 방안을 논의할 예정이고, 8일 국회 정무위원회의 금융위원회 국정감사에서도 핵심 현안이 될 전망이다.
필자는 이번 은행 해킹 사고에서 두 가지를 지켜볼 대목으로 본다. 하나는 외주 인력과 대출모집인처럼 은행 바깥 사람들이 쓰는 시스템까지 보안 관리가 실제로 미치는지다. 다른 하나는 보상의 범위다. 금전 피해 보상은 약속됐지만, 주민등록번호처럼 쉽게 바꿀 수 없는 정보가 새 나간 데 대한 책임을 어디까지 물을지는 아직 정해지지 않았다.
⚠️ 주의 — 은행과 금융당국은 전화나 문자로 비밀번호, OTP 번호, 카드 보안코드를 묻지 않는다. 유출 보상을 이유로 앱 설치나 원격 제어를 요구하면 일단 끊고 공식 번호로 다시 확인해야 한다.
💬 자주 보이는 상황 — “이번에 유출된 은행과 거래하지 않는데도 따로 조치해야 하나요?”
자주 묻는 질문
내가 유출 대상인지 어떻게 알 수 있나요?
유출 대상이면 은행이 문자나 우편으로 개별 통지한다. 받은 문자의 링크를 누르기보다 은행 공식 앱이나 대표번호로 직접 확인하는 편이 안전하다.
계좌 비밀번호를 바꿔야 하나요?
보도된 유출 항목에 비밀번호는 없다. 다만 여러 곳에 같은 비밀번호를 쓰고 있다면 이번 기회에 금융 앱 비밀번호부터 바꾸는 것이 좋다.
피해가 생기면 보상받을 수 있나요?
피해 은행들은 사고로 생긴 금전 피해를 전액 보상하겠다고 밝혔다. 의심 연락을 받은 기록이나 거래 내역 같은 자료를 남겨 두면 보상 절차에 도움이 된다.
주민등록번호가 유출되면 바꿀 수 있나요?
유출로 생명·신체·재산 피해를 입었거나 입을 우려가 있으면 주민등록번호 변경을 신청할 수 있다. 주민등록번호변경위원회 심사를 거쳐 결정된다.
유출된 은행 고객이 아니어도 조치해야 하나요?
이번 은행 해킹은 다른 곳에서 새 나간 계정 정보를 대입하는 방식이 의심된다. 거래 은행과 관계없이 비밀번호 재사용을 줄이고 명의도용 방지 서비스를 확인해 두면 위험을 낮출 수 있다.
함께 읽으면 도움이 되는 글
핵심 정리
- 신한·KB국민·하나·BNK부산은행에서 은행 해킹으로 개인정보가 유출됐다
- 신한은행은 약 2만5,000명, 국민은행 119명, 하나은행 89명 규모다
- 우리·NH농협은행은 공격 시도를 막았다
- 공격은 거래 시스템이 아닌 직원·외주용 업무지원 시스템을 노렸다
- 보도 기준으로 계좌 비밀번호와 OTP 정보는 유출되지 않았다
- 주민등록번호와 연락처가 노출돼 사칭 피싱 같은 2차 피해에 대비해야 한다
- 개인정보노출자 등록, 명의도용 방지, 계좌 조회, 비밀번호 변경을 해 둘 만하다
- 금융위 추가 회의와 국정감사에서 보안 관리와 보상 범위가 다뤄질 전망이다
※ 이 글은 10월 3일까지 보도된 은행권 해킹 사고 내용을 바탕으로 작성했으며, 조사 결과에 따라 피해 규모와 항목이 바뀔 수 있다. 본인 명의 거래 차단은 금융감독원 개인정보노출자 사고예방시스템, 휴대폰 명의도용 확인은 엠세이퍼에서 할 수 있고, 유출 여부는 거래 은행의 공식 안내를 따르는 것이 정확하다.