최근 은행과 저축은행, 캐피탈, 가상자산사업자 등 금융권 전반을 대상으로 한 해킹과 개인정보 유출 사고가 잇따르면서 금융소비자의 불안이 커지고 있습니다. 특히 2026년 9월 말부터 단 며칠 사이에 여러 금융회사에서 연달아 침해사고가 확인되면서 금융 보안이 사회적 관심사로 떠올랐습니다.
뉴스를 보면 "나도 당한 건 아닐까?" 하는 걱정이 먼저 듭니다. 이 글은 그 질문에 답하는 데 초점을 맞췄습니다.
• 언제, 어디서, 누구의 정보가 얼마나 유출됐는지 회사별로 정리
• 이번 사고의 공통점: 왜 고객용 뱅킹이 아닌 업무용 시스템이 뚫렸나
• 내 정보가 유출됐는지 확인하는 방법과 금융회사 보상 내용
• 유출 여부와 상관없이 지금 바로 해두면 좋은 보호 조치
1. 한눈에 보는 사고 타임라인
| 시점 | 내용 |
| 9월 27일 | 온투업체 PFCT·모우다 웹사이트 무단 접근 확인 |
| 9월 30일 | 신한은행 대출모집인용 간편조회 서비스를 통해 고객 정보 유출 |
| 10월 1~3일 | KB국민·하나·BNK부산은행, 현대캐피탈, 저축은행 등으로 확산 (우리·NH농협은행은 공격을 받았지만 유출은 확인되지 않음) |
| 10월 4일 | 금융위원장 주재 금융권 CEO 긴급 점검회의 |
| 10월 14일 | 금융위 2차 긴급 상황대응 회의: 16개사 침해, 약 10만 건 유출 발표 |
| 10월 말 | 대신증권·미래에셋자산운용·빗썸 등 추가 사고 공개 |
대부분의 사고는 일주일 남짓한 기간에 몰려 발생했고, 당국과 업계는 AI를 활용한 자동화 공격 가능성을 조사하고 있습니다. 경찰도 정보통신망법 위반 혐의로 수사에 착수했습니다.
2. 회사별로 무엇이 유출됐나
금융위가 10월 14일 발표한 16개사는 다음과 같습니다.
| 업권 | 회사 |
| 은행 | 신한은행, KB국민은행, BNK부산은행, 하나은행 |
| 저축은행 | 예가람저축은행, 웰컴저축은행, DB저축은행, OK저축은행 |
| 여신전문금융 | 현대캐피탈, 산은캐피탈 |
| 온라인투자연계금융 | PFCT, 모우다 |
| 전자금융업 | 브라이트픽스 |
| 가상자산사업자 | 스트리미, 프라뱅 |
| 상호금융 | 새마을금고중앙회 |
여기서 주의할 점은 16개사 모두에서 고객 정보가 대규모로 유출된 것은 아니라는 점입니다. 각 회사가 밝힌 내용을 보면 피해 대상과 규모가 크게 다릅니다.
| 회사 | 공개된 피해 내용(보도 기준) |
| 예가람저축은행 | 고객 약 4만 명 |
| 신한은행 | 고객 2만 5,729명 (이름·전화번호·연소득·대출 산출한도 등, 주민번호는 66건) |
| KB국민은행 | 처음 119명 → 추가 검증 후 2,210명 |
| 웰컴저축은행 | 법인고객 담당자 정보 약 2,100건 |
| 산은캐피탈 | 고객 848명 |
| OK저축은행 | 518명 |
| 새마을금고중앙회 | 400여 명 |
| PFCT | 고객 304명 |
| 현대캐피탈 | 주택대출 모집인 146명 (일반 고객 아님) |
| 하나은행 | 고객 89명 |
| BNK부산은행 | 외주 개발직원 11명 (은행 고객 아님) |
| DB저축은행 | 회사 측은 "해킹 시도를 차단했다"고 설명 |
회사별 집계 기준이 다르고 일부는 조사가 진행 중이라 수치는 바뀔 수 있습니다. 금융위는 유출 정보에 이름, 연락처, 주민등록번호, 이메일 등이 포함됐지만 계좌 비밀번호와 카드번호처럼 바로 부정결제에 쓸 수 있는 정보의 유출은 확인되지 않았다고 밝혔습니다.
3. 이번 사고의 공통점: 뚫린 곳은 '뒷문'이었다
이번 사고를 보면 공통적으로 고객이 쓰는 인터넷·모바일뱅킹이 아니라 직원·모집인이 쓰는 조회·업무지원 시스템이 공격받았습니다.
1. 신한은행: 대출모집인이 고객 대출 가능 여부를 조회하는 간편조회 서비스 (인증서가 필요 없는 구조)
2. 하나은행: 직원용 영업지원시스템(ODS)
3. 현대캐피탈: 모집인 정보 조회 페이지
인증서와 생체인증으로 지키는 뱅킹 앱과 달리, 이런 업무용 시스템은 상대적으로 인증 절차가 단순해 허점이 됐다는 분석이 나왔습니다. 다시 말해 내 뱅킹 앱 비밀번호가 털린 것이 아니라, 금융회사가 보관하던 내 정보가 다른 통로로 빠져나간 것입니다. 그래서 개인에게 진짜 위험은 "계좌에서 돈이 바로 빠져나가는 것"보다 유출된 정보를 이용한 사기(2차 피해)입니다.
금융사 4곳 중 1곳은 기본 보안에 빈틈
금융당국이 10월 8일까지 금융회사 555곳에 12개 항목 자체 보안점검을 맡긴 결과, 425곳은 적정을 보고했고 130곳(약 23%)은 미흡 항목이 있다고 보고했습니다.
| 미흡 항목 | 건수 |
| 보안패치 미적용·기술지원 종료 시스템 관리 | 112건 |
| 24시간 관제체계 운영 | 76건 |
| 공격표면(외부 노출 시스템) 관리 | 60건 |
| 합계 | 248건 |
보안역량이 상대적으로 약한 전자금융업·온라인투자연계금융업에서 미흡 사항이 더 많았습니다. 다만 미흡 항목이 있다고 해서 그 회사가 실제로 해킹당했다는 뜻은 아닙니다. 당국은 대형 금융사 취약점 점검을 연 2회 이상으로 늘리고 CEO의 보안 책임을 강화하겠다고 밝혔습니다.
4. 내 정보가 유출됐는지 확인하는 법
가장 먼저 할 일은 내가 이용하는 금융회사가 위 목록에 있는지 확인하는 것입니다. 있다면 다음 순서로 확인하세요.
1. 문자·이메일 통지를 확인합니다. 유출이 확인된 고객에게는 금융회사가 개별 통지를 보냅니다. 단, 이 통지를 사칭한 스미싱도있을 수 있으니 문자 속 링크는 누르지 마세요.
2. 금융회사 공식 앱·홈페이지에서 조회합니다. 예를 들어 신한은행은 홈페이지에 '고객정보 유출 조회' 메뉴를 열어 유출 여부와 항목을 확인할 수 있게 했습니다. 주소는 직접 입력하거나 앱을 직접 실행해 들어가세요.
3. 고객센터에 문의합니다. 카드 뒷면이나 공식 홈페이지에 있는 대표번호로 전화하세요.
금융회사들의 보상 내용
| 회사 | 발표된 보상·지원 |
| 신한은행 | 유출 고객 전원 금융 안심보험 가입(피싱·스미싱 등 피해 최대 1,000만 원, 2026.9.29~2027.9.28, 보험료 은행 부담) + 1년간 이체·출금 수수료 면제, 환율 우대 등 |
| 하나은행 | 유출 고객 전원 VIP 등급 상향, 각종 수수료 면제, 금융명의보호 서비스 가입 지원 |
| 그 외 | 대부분 "실제 피해 발생 시 전액 보상" 방침, 손해배상 청구 절차 안내 |
유출 대상이라면 보상을 받기 위해 별도 신청이 필요한지, 보험금 청구는 어떻게 하는지 해당 금융회사 공지를 꼭 확인하세요. 피해가 생기면 보상을 청구해야 하니 통지 문자·이메일은 지우지 말고 보관해 두는 것이 좋습니다.
5. 유출된 정보는 이렇게 악용됩니다
이름과 전화번호만 있을 때는 무작위 스팸 수준이지만, 여기에 연소득·대출 한도·직장명 같은 정보가 더해지면 이야기가 달라집니다. 사기범이 내 상황을 아는 것처럼 말하면 진짜 금융회사라고 믿기 쉽기 때문입니다.
예를 들어 아래와 같은 연락은 모두 의심해야 합니다.
| 이런 연락을 받으면 | 사기 가능성이 높은 이유 |
| "개인정보 유출 피해 고객입니다. 계좌 보호를 위해 인증번호를 알려주세요" | 금융회사는 전화로 비밀번호·인증번호·OTP를 묻지 않음 |
| "유출 피해자 대상 특별 저금리 대출, 기존 대출을 먼저 갚으세요" | 대출을 이유로 선입금·기존 대출 상환을 요구하면 사기 |
| "보안 강화를 위해 이 앱을 설치하세요" + 링크 | 악성 앱·원격제어 앱으로 휴대폰을 장악하는 수법 |
| "고객님 명의가 범죄에 연루됐습니다" (검찰·금감원 사칭) | 수사기관은 전화로 자금 이체나 앱 설치를 요구하지 않음 |
| "보상금 수령을 위해 아래 링크에서 본인확인하세요" | 보상 안내를 흉내 낸 스미싱. 보상 확인은 공식 앱에서만 |
👉 진짜 정부 대환대출이 어떤 조건인지 알아 두면 가짜 대출 문자를 쉽게 구별할 수 있어요. [소상공인 대환대출 조건과 이자 절감 계산] https://wagamamayj.com/entry/저금리-대환대출-신청-전에-꼭-확인할-3가지
👉 "정부 지원으로 모든 빚 해결" 같은 광고도 조심하세요. [국민채무통합이란? 불법 채무통합 광고 구별법]
https://wagamamayj.com/entry/국민채무통합이란-여러-대출을-하나로-관리하는-방법과-정부-채무조정-지원제도-총정리
금융위원회도 이번 사고를 악용한 보이스피싱·스미싱에 주의하라는 소비자경보를 냈습니다. 기억할 원칙은 하나입니다. 먼저 온 연락에는 반응하지 말고, 끊고 나서 내가 아는 공식 번호로 다시 거는 것입니다.
6. 지금 바로 해두면 좋은 보호 조치
유출 대상이 아니더라도, 아래 조치는 한 번만 해두면 명의도용 피해를 크게 줄일 수 있습니다.
| 조치 | 무엇을 막아주나 | 어디서 |
| 금융거래 안심차단서비스 | 내 명의로 된 신규 대출 등 원치 않는 신규 거래를 미리 차단 | 거래 금융회사 앱·영업점 (적용 범위는 금융회사별로 확인) |
| 개인정보노출자 사고예방시스템 등록 | 금융회사가 신규 거래 시 본인 확인을 더 까다롭게 함 | 금융감독원 pd.fss.or.kr |
| 명의도용 방지 서비스(엠세이퍼) | 내 명의의 휴대폰 신규 개통 차단·조회 | www.msafer.or.kr |
| 내 계좌 한눈에 | 내 명의로 된 모르는 계좌·대출 확인 | 금융소비자 정보포털 파인 fine.fss.or.kr |
| 입출금 알림 설정 | 모르는 거래를 즉시 발견 | 각 은행·카드사 앱 |
휴대폰과 비밀번호 관리도 함께 점검하세요.
[ ] 금융 앱마다 같은 비밀번호를 쓰고 있다면 바꾼다 (신한은행 사고는 다른 곳에서 유출된 계정정보를 대입하는 공격 가능성도 거론됨)
[ ] 휴대폰 운영체제와 앱을 최신 버전으로 업데이트한다
[ ] 출처를 모르는 앱, 원격제어 앱이 설치돼 있지 않은지 확인한다
[ ] OTP·인증번호는 가족을 포함해 누구에게도 알려주지 않는다
7. 이미 피해가 의심된다면
| 상황 | 바로 할 일 |
| 수상한 문자를 받음 | 링크를 누르지 말고 삭제, 필요하면 118(불법스팸 신고) |
| 링크를 눌렀거나 앱을 설치함 | 휴대폰을 비행기 모드로 전환 → 다른 기기로 거래 금융회사에 연락해 거래 제한 요청 |
| 모르는 이체가 발생함 | 즉시 112 또는 금융회사 고객센터에 지급정지 요청 |
| 내 명의 대출·계좌가 생김 | 해당 금융회사와 금감원(1332)에 신고, 사고예방시스템 등록 |
돈이 이미 넘어갔다면 시간이 가장 중요합니다. 지급정지는 빠를수록 돌려받을 가능성이 커지니 망설이지 말고 바로 전화하세요. 통화 기록, 문자, 이체 내역은 지우지 말고 보관해야 보상과 수사에 쓸 수 있습니다.
8. 자주 묻는 질문
Q. 제 은행이 16개사에 들어 있으면 제 정보도 유출된 건가요?
아닙니다. 대부분 회사에서는 일부 고객(또는 직원·모집인)의 정보만 유출됐습니다. 개별 통지와 공식 조회 메뉴로 확인하세요.
Q. 계좌를 해지하거나 다른 은행으로 옮겨야 할까요?
이미 유출된 정보는 계좌를 옮겨도 되돌릴 수 없습니다. 계좌 비밀번호·카드번호 유출은 확인되지 않았으므로, 계좌 이동보다는 위의 보호 조치와 사기 연락에 대한 경계가 더 효과적입니다. 다만 유출 대상이라면 금융회사가 제공하는 보험·명의보호 서비스는 챙겨두세요.
Q. 주민등록번호가 유출됐다면 번호를 바꿀 수 있나요?
유출로 생명·신체·재산 피해를 입었거나 입을 우려가 크다고 인정되면 주민등록번호 변경을 신청할 수 있는 제도가 있습니다. 주소지 읍·면·동 행정복지센터에서 신청하며, 심사를 거쳐 결정됩니다.
마무리
이번 금융권 해킹은 16개사, 약 10만 건이라는 규모보다 금융권 전 업권에서 거의 동시에 발생했다는 점에서 우려가 큽니다. 다만 계좌 비밀번호나 카드번호 유출은 확인되지 않았기 때문에, 개인에게 가장 현실적인 위험은 유출 정보를 활용한 맞춤형 사기입니다.
정리하면 세 가지입니다. 내 금융회사가 포함됐다면 공식 앱에서 유출 여부와 보상을 확인하고, 포함됐든 아니든 안심차단·명의도용 방지 서비스를 미리 설정하고, 금융회사나 수사기관을 자처하는 연락을 받으면 일단 끊고 공식 번호로 다시 확인하세요.
👉 겨울철에는 "난방비 지원금 신청" 사칭 문자도 늘어나요. 진짜 신청 방법은 이 글에서 확인하세요. [에너지바우처 최대 70만 원, 지원 대상과 신청 기한] https://wagamamayj.com/entry/에너지바우처-최대-70만-원-올겨울-난방비-지원-대상과-신청-기한-정리
관련 공식 사이트
• 금융위원회: https://www.fsc.go.kr
• 금융감독원(상담 1332): https://www.fss.or.kr
• 개인정보노출자 사고예방시스템: https://pd.fss.or.kr
• 금융소비자 정보포털 파인: https://fine.fss.or.kr
• 명의도용 방지 서비스(엠세이퍼): https://www.msafer.or.kr
• 경찰청 사이버범죄 신고시스템: https://ecrm.police.go.kr
이 글은 공개된 발표와 보도를 바탕으로 정리한 정보이며, 조사 결과에 따라 내용이 바뀔 수 있습니다. 본인의 유출 여부와 보상 내용은 해당 금융회사 공식 채널에서 확인하세요.