은행 앱은 멀쩡했는데 정보는 왜 샜을까

2026년 9월 말부터 10월 초 사이, 금융회사 최소 7곳에서 정보가 샌 사실이 확인됐습니다. 10월 4일 금융위원회 긴급 점검회의에는 침해사고가 확인된 KB국민·신한·하나·부산은행, 예가람·웰컴저축은행, 현대캐피탈 7곳의 대표가 참석했습니다(머니투데이). 이 숫자는 그 회의 시점 기준이라, 이후 더 늘어날 수 있습니다.

그런데 이번에 뚫린 건 우리가 매일 쓰는 은행 앱이 아니었습니다. 이 글은 위 영상의 내용을 천천히 읽을 수 있게 정리한 것입니다.

세 줄 요약

1. 고객이 쓰는 은행 앱(정문)은 영향이 없었고, 직원·대출모집인이 쓰는 업무용 시스템(뒷문)에서 정보가 샜습니다.
2. AI 해킹 도구를 쓴 흔적이 나왔지만, 사람이 개입한 공격이었고 도구의 정확한 역할은 아직 밝혀지지 않았습니다.
3. 내 이름과 전화번호가 나갔다면, 내 명의로 새 대출·통장·휴대폰이 만들어지는 길을 막아 두세요.

정문은 멀쩡했고, 문제는 뒷문이었다

은행을 건물 한 채라고 생각해 보겠습니다. 앞쪽에는 손님이 드나드는 정문이 있습니다. 우리가 쓰는 은행 앱과 인터넷뱅킹이 이 정문입니다.

금융당국 발표로는, 이번 정보유출은 “금융회사 직원용 및 대출모집인용 부가시스템”에서 일어났고, 고객용 서비스에는 영향이 없었으며 돈이 빠져나간 피해도 없었습니다(연합뉴스 요약).

문제는 건물 뒤쪽이었습니다. 은행에는 직원이나 대출모집인처럼 은행 밖에서도 일하는 사람들이 쓰는 업무용 통로가 있습니다. 대출모집인은 손님을 은행 대출에 연결해 주는 영업인을 말합니다. 금융위원장도 공격 대상이 “대출모집인·임직원이 쓰는 외부 웹페이지·서버 등 관리가 덜 된 영역”이었다고 설명했습니다(MTN).

신한은행에서는 무슨 일이 있었나

보도에 따르면 신한은행 모바일 홈페이지(‘M신한’) 안에는 대출모집인만 쓰는 서비스가 따로 있었습니다. 외부 공격자는 이 서비스를 뜯어보고 정상적인 본인확인 단계를 건너뛰었습니다. 그다음 고객을 구분하는 번호를 이리저리 바꿔 가며 계속 넣어 봤습니다(헤럴드경제). 은행은 이후 외부 IP 접속을 차단했다고 밝혔습니다.

그렇게 새어 나간 고객 정보는 약 2만 5천 명분입니다(헤럴드경제). 이름, 전화번호, 연소득, 대출 산출 한도 같은 정보였다고 정리돼 있습니다(IT위키 정리, 원문 대조 전). 본인확인 하나가 빠진 문으로 이만큼이 빠져나간 셈입니다.

금융당국이 정리한 다른 길들도 비슷했습니다(IT위키 정리). 본인확인 없이 조회되는 서비스, 출입 단속이 빠진 직원용 서비스, 그리고 이미 알려진 허점을 그대로 둔 홈페이지입니다. 직원용 서비스는 “모바일 단말기 접근통제가 빠지고 웹 취약점이 방치”돼 있었고, 앞으로는 “사전 등록 단말기만 접속하도록” 통제를 강화한다고 합니다(연합뉴스 요약).

다만 정확히 어떤 방법으로 뚫었는지, 어떤 프로그램의 어떤 허점이었는지는 공식적으로 공개되지 않았습니다(BleepingComputer).

왜 하필 지금일까

앱을 뜯어보고 허점을 찾는 일에는 넘어야 할 문턱이 있습니다. 앱 안에 숨은 문과 길을 하나하나 들여다봐야 하니까요.

구글 보안팀은 올해 5월 보고서에서, AI 도구가 이 문턱을 낮추고 있다고 경고했습니다. 사람이 일일이 하던 찾기를 도구가 훨씬 넓게, 사람 손을 덜 타고 해 준다는 내용입니다. 같은 보고서에는 회사 안의 복잡한 권한 규칙 앞에서는 AI가 아직 헤맨다는 내용도 함께 있습니다(Google 위협 분석 보고서).

국내 전문가들도 비슷하게 말합니다. 김승주 교수는 “공격자 역시 이러한 도구를 손쉽게 활용할 수 있게 되는 시대”라고 했고, 문종현 센터장은 “공격자는 한 곳만 뚫으면 되지만 방어자는 모든 곳을 막아야 한다”고 했습니다(전자신문).

이번 사건에서도 그 흔적이 나왔습니다. 금융보안원이 신한은행 공격 기록과 공격자 IP를 거슬러 올라가 보니, 누구나 내려받을 수 있는 AI 해킹 도구(ARTEX)를 쓴 흔적이 있었다고 합니다. 동시에 금융보안원은 “사람의 개입 없이 AI가 독자적으로 공격하지는 않았다”고 분명히 했습니다(헤럴드경제). 그 도구가 정확히 어떤 역할을 했는지, 7곳이 모두 같은 공격자의 짓인지는 아직 확인되지 않았습니다.

참고로 작년 11월에는 AI 회사 Anthropic이 자기 AI가 악용된 다른 해킹 사건을 공개하면서, 정교한 공격을 하는 데 필요한 문턱이 크게 낮아졌다고 경고했습니다(Anthropic). 이번 은행 사건과는 별개의 사건입니다.

정부도 바로 움직였다

금융위원회는 10월 2일 긴급 회의를 열고, “외부에 노출된 전산시스템 전반에 대한 보안점검”을 금융회사들에 요청했습니다. 특히 개인정보를 조회할 때 인증 절차가 빠지지 않았는지 점검하라고 했습니다(금융위원회 보도자료). 과학기술정보통신부도 약 2만8000곳에 보안 점검을 권하는 메일을 보냈습니다(헤럴드경제).

눈여겨볼 점이 하나 있습니다. 본인확인을 여러 겹으로 해 두었거나 허점을 미리 고친 금융회사는 실제로 뚫리지 않았다고 합니다(전자신문).

AI 도구 없이도 털린 곳들

그럼 AI 도구만 조심하면 될까요? 아닙니다. AI 도구 이야기가 없는 사건에서도 큰 회사들이 털렸습니다.

• 쿠팡: 개인정보보호위원회는 쿠팡이 그 서명키를 암호화하지 않고 그대로 보관했고, 직원이 나간 뒤에도 바꾸지 않았다고 밝혔습니다(디지털데일리).
• SK텔레콤: 해커가 몰래 프로그램(BPFDoor)을 심을 때 쓴 운영체제 허점은 2016년 10월에 이미 경보와 수리 방법이 공개됐지만, 2025년 4월 유출 때까지 업데이트하지 않았습니다(바이라인네트워크).
• GS리테일: GS SHOP 158만1025명, GS25 7만9128명이 피해를 봤습니다(MTN).

제 나름대로 묶어 보면(기관의 공식 분류는 아닙니다) 털린 곳에는 비슷한 약점이 있었습니다. 퇴사자가 쥔 열쇠, 고치지 않은 자물쇠, 남의 열쇠로 열어 본 문. 결국 AI 도구가 있든 없든, 뚫린 건 단속이 덜 된 문이었습니다.

내 정보가 샜다면 오늘 할 3가지

먼저 다행인 점부터. 이번 은행 사건에서 결제에 바로 쓰일 수 있는 민감한 정보가 샌 것은 아직 확인되지 않았습니다(MTN). 다만 내 이름과 전화번호가 나갔다면, 내 명의로 새로 뭔가 만들어지는 길은 막아 두는 게 좋습니다.

아래 세 가지는 이번 사건 때문에 새로 생긴 것이 아니라 원래 있는 제도입니다. 공식 원문을 직접 확인한 정도에 따라 표현의 세기를 다르게 적었습니다.

1. 안심차단 2종 신청하기 (금융위원회 원문 확인)

• 여신거래 안심차단: 신청해 두면 내 이름으로 된 새 대출이 실시간으로 막힙니다. 신용대출, 카드론, 신용카드 발급, 주식담보대출, 할부금융, 예적금 담보대출이 대상입니다. 2024년 8월 23일부터 시행됐고, 거래하는 금융회사 영업점에서 본인확인 후 신청합니다. 발표 당시 비대면 신청도 허용할 계획이라고 했습니다(금융위원회 보도자료).
• 비대면 계좌개설 안심차단: 내가 원하지 않는 새 통장이 비대면으로 만들어지는 것을 막습니다. 2025년 3월 12일부터 시행됐고, 영업점뿐 아니라 은행 앱·인터넷뱅킹, 금융결제원 어카운트인포에서도 신청할 수 있습니다(금융위원회 보도자료).
• 풀 때는 둘 다 가까운 금융회사 영업점에 직접 가야 합니다. 대출 쪽은 풀 때 직원이 보이스피싱이나 명의도용 때문에 푸는 건 아닌지 한 번 더 확인해 줍니다.

2. 엠세이퍼로 휴대폰 개통 막아 두기 (공식 사이트 확인, 세부 절차는 확인 전)

엠세이퍼에는 내 이름으로 새 휴대폰이 개통되지 않게 막아 두는 ‘가입제한’ 서비스와, 내 이름으로 개통된 휴대폰 회선을 조회하는 ’가입사실현황조회’가 있습니다. 새로 개통되면 문자로 알려 주는 기능도 안내돼 있습니다. 신청과 해제의 세부 절차는 공식 페이지에서 직접 확인해 주세요.

3. 금융감독원 ‘개인정보 노출자’ 등록 알아보기 (보도 기준)

금융감독원 소비자 포털 파인에 ’개인정보가 노출되었어요’라는 메뉴가 있고, 여기서 개인정보 노출자 사고예방시스템으로 이어집니다. 보도에 따르면 등록하면 일부 금융거래가 제한된다고 하는데, 어디까지 막히는지는 금융회사마다 다르다고 합니다. 등록할 때 꼭 물어보세요.

이것만으로 다 막히지는 않는다

이 세 가지가 막는 것은 내 명의로 새 대출·통장·휴대폰이 만들어지는 길입니다. 이미 있는 계좌에서 돈이 나가는 일이나 문자 사기까지 막아 주지는 않습니다. 금융당국도 보이스피싱이나 문자 사기 가능성은 배제하지 않았습니다(MTN). 모르는 번호의 전화나 문자 속 링크는 한 번 더 의심해 주세요.

내가 만든 도구에도 뒷문이 있다

직접 만들어 쓰는 도구에도 이런 뒷문은 생길 수 있습니다. 신한은행도 본인확인 한 단계를 건너뛴 틈으로 뚫렸습니다. 혹시 만들어 둔 관리자 화면이 있다면, 본인확인이 걸려 있는지 한 번만 확인해 보세요.

만들어 보고 싶은 도구가 있으면 영상 댓글로 알려 주세요. 다음 편에서 같이 만들어 보겠습니다.

출처