신한은행에서 시작된 은행 해킹이 저축은행과 캐피탈로 번져 금융사 일곱 곳의 정보가 새어 나갔다. 뚫린 곳은 인터넷뱅킹이 아니라 직원과 대출모집인이 쓰는 주변 시스템이었다. 매체마다 다른 숫자를 한 표에 나란히 놓고, 내 정보가 포함됐는지 확인하는 방법을 정리했다.
모든 수치는 10월 4일까지의 언론 보도와 각 회사 설명을 옮긴 것이며 금융감독원 검사로 확정된 값이 아니다. 온라인투자연계금융업체 두 곳(PFCT 약 300건, 모우다)의 사고는 같은 공격인지 확인되지 않아 일곱 곳에 넣지 않았다.
처음 알려진 것은 신한은행이었지만 먼저 뚫린 쪽은 KB국민은행이었다. 국민일보 보도에 따르면 KB국민은행 침입은 9월 27일 밤 11시 19분에 시작돼 29일 저녁까지 이어졌고, 은행이 사고를 안 것은 30일 저녁 7시쯤이다. 신한은행은 28일 저녁 6시 4분에 시작돼 다음 날 오전 9시 30분에 감지됐지만, 최종 차단은 30일 0시 15분이었다.
기사마다 숫자가 조금씩 다른 것은 대부분 세는 단위가 달라서다. KB국민은행의 119명과 153건은 사람 수와 유출 건수이고, 신한은행의 2만5,727명과 2만5,729명은 집계 시점 차이로 보인다. 다른 숫자가 보이면 마지막 칸을 먼저 본다.
| 회사 | 규모 | 유출 항목 | 뚫린 곳 | 보도별 차이·주의 |
|---|---|---|---|---|
| 신한은행 | 약 2만5,000명 | 이름·전화번호·연소득·대출 한도, 주민번호 66건, 연계정보(CI) 97건 | 대출모집인(상담사)용 비로그인 간편조회 | 25,727명(이투데이 등) / 25,729명(국민일보·전자신문). 주민번호는 '66건 포함'으로 일치 |
| 예가람저축은행 | 약 4만 명 | 이름·생년월일·연락처 | 고객정보 서버 | 항목·규모 보도 일치. 주민번호 포함 보도 없음 |
| 웰컴저축은행 | 약 2,200건(추정) | 법인명·담당자 이름·이메일·전화번호 | 법인 고객 정보(자체 점검에서 확인) | '최대 2,200건'·'2,200건 추정' — 범위 조사 중 |
| 현대캐피탈 | 146명 | 이름·휴대전화·이메일·주민번호·등록번호 등 | 대출모집인 조회 페이지 | 고객이 아니라 대출모집인 정보 |
| KB국민은행 | 119명 | 이름·전화번호·주소·암호화된 주민번호 | 직원용 모바일 업무지원 시스템 | '119명'과 '153건'은 다른 숫자가 아니다 — 고객 99명 + 임직원 20명, 유출 건수 153건 |
| 하나은행 | 89명 | 주민번호·이름·주소·이메일·전화번호·직장명 | 영업지원시스템(ODS) | 규모 보도 일치 |
| BNK부산은행 | 11명 | 이름·전화번호·생년월일·이메일 | 모바일 업무지원 시스템 | 고객이 아니라 외주 개발 직원. 은행은 주요 공격을 차단했다고 설명 |
[수치 점검] ① 신한은행 유출이 알려진 날은 10월 2일이 아니라 10월 1일이다(2일은 KB국민·하나은행). ② 신한은행 주민번호는 '포함 여부가 엇갈린다'기보다 66건 포함으로 보도가 모였다. ③ 10월 4일 웰컴저축은행이 더해져 피해 금융사는 여섯 곳이 아니라 일곱 곳이다.
일곱 곳의 공통점은 고객이 쓰는 인터넷·모바일뱅킹이 아니라 직원과 대출모집인이 업무용으로 쓰는 시스템이 표적이었다는 것이다. 바깥에서 접속할 수 있으면서 본체보다 인증이 느슨한 곳이다. 신한은행의 경우 금융인증서가 아니라 문자 인증에 기대는 비로그인 조회 서비스였다고 보도됐다.
유출이 확인된 회사는 법에 따라 당사자에게 알려야 한다. 신한은행은 홈페이지와 모바일 앱에 조회 창구를 열고 전담 상담 창구를 운영한다고 밝혔고, 하나은행은 개별 통지를 진행 중이라고 했다. 나머지 회사의 조회 경로는 이 글 작성 시점에 확인하지 못했다. 아래 판별기는 보도된 유출 경로만으로 가능성을 가늠하는 도구다.
보도된 유출 경로에 내 거래 유형을 대 본 추정이다. 포함 여부를 확정하는 것은 회사의 통지와 공식 조회뿐이며, '가능성 낮음'이 나와도 통지가 오면 통지가 맞다.
문자·이메일·우편·앱 알림 등 회사가 가진 연락처로 온다. 통지에는 유출된 항목, 시점, 회사의 조치, 문의처가 담긴다. 회사마다 방식이 다르므로 통지를 기다리기보다 공식 앱이나 홈페이지 공지에서 조회 메뉴를 직접 찾는 편이 빠르다.
문자 속 링크로 들어가지 않고, 주소를 직접 입력하거나 이미 깔려 있는 앱으로 들어간다.유출 통지는 알리는 글이다. 비밀번호·OTP·보안카드 번호를 묻지 않고, 앱 설치나 원격 제어를 시키지 않고, 돈을 다른 계좌로 옮기라고 하지 않는다. 셋 중 하나라도 나오면 사칭이다. '보상금 신청', '피해 조회'라는 이름의 링크도 같다.
의심스러우면 문자의 번호가 아니라 카드 뒷면이나 공식 홈페이지에 적힌 대표번호로 내가 전화를 건다.신한은행 66건, 하나은행 89명, 현대캐피탈 대출모집인 일부가 해당한다. 이름·전화번호만 나간 경우보다 명의도용 위험이 크다. 금융감독원 '파인'의 개인정보 노출자 사고예방 시스템에 등록하면 금융회사가 신규 거래 때 본인 확인을 강화하고, 여신거래 안심차단을 걸면 내 이름으로 새 대출이 나가는 것을 막을 수 있다.
주민번호 변경은 유출로 피해를 입었거나 입을 우려가 있을 때 신청할 수 있는 제도다. 대상 여부는 통지 내용을 들고 확인한다.CI는 온라인 서비스들이 주민번호 대신 같은 사람임을 확인하려고 쓰는 암호화된 식별값이다. 그 자체로 로그인이 되지는 않지만 여러 서비스의 기록을 한 사람으로 묶는 열쇠가 될 수 있다. 신한은행에서 97건이 유출된 것으로 보도됐다.
CI가 나갔다고 통지받았다면 본인인증을 쓰는 주요 서비스의 로그인 기록을 한 번 훑어 둔다.신한은행과 하나은행은 고객의 금전 피해가 확인되면 전액 보상하겠다고 밝혔다. 다만 유출 자체에 대한 위자료나 일괄 보상안은 발표되지 않았다. 피해를 입증하려면 기록이 필요하니 통지 문자, 의심 문자, 이상 거래 내역을 지우지 말고 모아 둔다.
발표되지 않은 보상을 약속하는 문자나 '집단소송 참여' 링크는 일단 사칭으로 본다.이번에 계좌 비밀번호가 나갔다는 보도는 없다. 그래도 이름·전화번호·이메일·직장명이 나가면 그 정보로 다른 서비스의 문을 두드리는 시도가 늘어난다. 아래 다섯 가지는 유출 여부와 관계없이 손해 볼 일이 없는 조치다.
내 명의 계좌·대출은 금융결제원 '계좌정보통합관리(어카운트인포)', 휴대전화 개통은 '엠세이퍼', 신규 대출 차단은 '여신거래 안심차단', 금융거래 본인 확인 강화는 금융감독원 '파인'에서 할 수 있다. 서비스 이름으로 검색해 공식 사이트에 직접 들어간다.
10월 4일 회의에는 금융감독원·금융보안원·업권별 협회와 피해 금융사 일곱 곳, 과학기술정보통신부·개인정보보호위원회·경찰청이 참석했다. 금융위원장은 공유된 공격 정보가 있는데도 점검을 소홀히 해 비슷한 사고가 나면 엄정히 책임을 묻겠다고 했다. 지시는 세 갈래다 — 소비자 서비스에 꼭 필요한 경우를 빼고 외부 접근 차단, 정보기술 자산과 인증·접근통제 전면 점검, AI 보안 테스트 참여.
“이미 공유된 공격정보와 사고 사례가 있음에도 필요한 점검과 대응을 소홀히 해 유사한 사고가 발생하는 경우에는 엄정히 책임을 묻겠다.”
확인된 일정과 아직 날짜가 나오지 않은 것을 나눠 적는다.
© 2026 LOCATEWISE · 데이터로 읽는 시장
이 페이지의 내용은 정보 제공을 위한 것이며 투자 권유가 아닙니다. 투자 판단과 그 결과에 대한 책임은 이용자 본인에게 있습니다.