금융사 16곳 해킹·10만건 유출…OK저축은행은 두 번 뚫렸다

금융감독원이 두 차례 해킹으로 고객 정보가 새어 나간 OK저축은행에 지난 16일부터 검사 인력을 보내 현장점검에 들어갔다. 금융위원회가 14일 밝힌 집계로는 이달 들어 해킹 침해가 확인된 금융회사가 은행·저축은행·캐피탈·가상자산사업자 등 16곳, 확인된 개인정보 유출은 약 10만 건에 이른다. 계좌 비밀번호나 카드번호 유출은 확인되지 않았지만, 이름·연락처·소득 정보가 금융사 사칭 사기에 악용될 수 있어 소비자 스스로 명의도용 차단 장치를 챙길 필요가 커졌다.

OK저축은행, 나흘 새 두 번 뚫렸다

보안뉴스와 이투데이 보도를 종합하면, OK저축은행은 11일 밤 홈페이지 대출 신청 웹페이지가 공격을 받아 고객 250명의 정보가 유출됐다. 처음에는 183명으로 파악됐으나 외부 보안업체 두 곳의 정밀 조사 과정에서 피해 인원이 늘었다. 유출 항목은 이름·생년월일·휴대전화 번호·주소·직장명·연 소득·대출금액 등이다.

이후 시스템 전수 점검 과정에서 15일 새벽 모바일 수신(예금) 서비스 관련 홈페이지가 또 공격당한 사실이 드러났다. 이 공격으로 예금 고객 268명의 이름·계좌번호·가입 상품명·잔액·이율·최종 거래일이 빠져나갔다. 보안뉴스는 이때 쓰인 공격 IP가 금융보안원이 앞서 공유한 해킹 의심 IP와 달랐다고 전했다.

두 사건 피해자가 겹치지 않는다면 OK저축은행에서만 518명의 정보가 유출된 셈이지만, 중복 여부는 공개되지 않았다. 회사는 피해 고객에게 문자와 이메일로 개별 통보하고 의심 IP 차단, 계좌조회 방어 로직 보완, 이상행위 탐지 솔루션 적용 등을 마쳤다고 밝혔다. 이투데이에 따르면 금감원은 사고 원인과 대응 적정성, 추가 피해 가능성을 살핀 뒤 결과에 따라 정식 검사로 전환할 수 있다.

은행에서 가상자산 거래소까지…16곳 침해 확인

이번 연쇄 해킹은 이달 초 신한은행 사고를 시작으로 잇따라 알려졌다. 신한은행은 1일 대출모집인 전용 모바일 홈페이지의 대출 처리 현황 조회 서비스가 공격받아 약 2만5천 명의 고객명·전화번호·연 소득·대출 한도 등이 유출됐다고 사과했다. 공격자가 조회 입력값을 무작위로 대입해 정보를 빼낸 것으로 알려졌고, 인공지능(AI) 에이전트가 쓰였다는 관측도 나왔지만 당국의 최종 조사 결과는 아직 나오지 않았다.

금융위원회는 14일 정부서울청사에서 신진창 사무처장 주재로 '제2차 긴급 상황대응 회의'를 열고 침해 확인 금융회사 16곳을 공개했다. 유출이 확인된 정보는 성명·연락처·주민등록번호·이메일 등 약 10만 건이다. 당국은 공격자 IP를 바탕으로 확인 작업을 이어가고 있어 피해 회사가 더 늘 수 있다고 밝혔다.

공격은 고객이 매일 쓰는 핵심 뱅킹 앱보다 대출모집인 조회 서비스, 직원용 모바일 업무 시스템, 영업지원 시스템처럼 외부와 연결된 '곁가지' 시스템에 집중됐다. DB저축은행에서는 퇴직자를 포함한 임직원 122명과 외주 인력 20명 등 142명의 인터넷뱅킹 ID·성명·주민등록번호·휴대전화 번호가 유출됐고, 이 정보로 대출 가능 한도 조회를 시도한 흔적이 발견됐다고 보안뉴스가 전했다. 회사 측은 해당 거래를 모두 차단해 2차 피해는 보고되지 않았다고 밝혔다.

555곳 점검했더니 130곳 '미흡'

금융당국은 8일까지 전 금융권 555개사를 대상으로 12개 항목의 긴급 체크리스트 점검을 벌였다. 그 결과 130개사가 미흡 사항을 보고했고 425개사는 '적정'으로 제출했다. 점검 대상 가운데 23.4%가 기본 보안 관리에서 허점을 드러낸 셈이며, 업권별로는 전자금융업과 온라인투자연계금융업에서 미흡 사례가 많았다.

주요 미흡 사항은 최신 보안 패치 미적용, 제조사 기술지원이 끝난 노후 시스템 방치, 24시간 실시간 보안관제 체계 미구축, 외부 시스템의 인증·인가 누락과 중요 서비스의 다중인증(MFA) 미도입 등이었다. 신진창 사무처장은 기본적인 보안 수칙이 지켜지지 않은 사례가 발견된 데 대해 "매우 뼈아픈 부분"이라고 말했다.

당국은 외부와 연결된 전산 접점을 모두 목록화해 인증과 접근 권한을 엄격히 관리하게 하고, 최고경영자(CEO)와 정보보호최고책임자(CISO)의 책임 범위를 명확히 하기로 했다. 현행 전자금융거래법과 전자금융감독규정은 취약점 점검을 연 1회(외부 홈페이지는 연 2회) 의무화하고 있는데, 대형 금융회사부터 연 2회 이상으로 늘리는 방안도 추진한다. 보안 인력과 예산이 부족한 중소형사를 위해서는 금융보안원이 업권별 협회·중앙회와 AI 기반 공동 보안관제 시스템 구축을 검토하고, 전자금융거래법 적용을 받지 않는 대부업과 법인보험대리점(GA)에도 대응 요령을 전파할 계획이다.

유출 정보, 어떻게 악용될 수 있나

당장 계좌 비밀번호나 카드번호가 털린 것은 아니어서 곧바로 돈이 빠져나갈 위험은 낮다. 문제는 결합이다. 이름과 전화번호에 연 소득·대출 한도·직장명·예금 잔액까지 알려지면, 사기범이 실제 금융사 직원처럼 고객의 사정을 정확히 짚어 가며 접근하는 '맞춤형' 보이스피싱이나 스미싱이 가능해진다.

메트로신문은 대출 보증료나 신용점수 상향 명목의 선입금 요구, 기존 대출 상환을 위해 개인 계좌로 송금하라는 요구, 대출 상담이나 보안 점검을 핑계로 원격제어 앱 설치를 유도하는 연락을 전형적인 사기 의심 사례로 소개했다. 이런 연락을 받으면 응하지 말고 해당 금융사 대표번호로 직접 전화해 사실 여부를 확인하는 것이 안전하다.

지금 신청할 수 있는 명의도용 차단 장치

가장 손쉬운 대비책은 금융당국이 운영 중인 안심차단 서비스다. 금융위원회에 따르면 2024년 8월 23일 시행된 '여신거래 안심차단'은 본인 명의의 신용대출·카드론 등 신규 비대면 여신거래를 한국신용정보원 등록을 통해 실시간으로 막는다. 2025년 3월 12일부터는 비대면 계좌개설을 막는 '비대면 계좌개설 안심차단'도 시행 중이며, 파이낸셜뉴스 보도에 따르면 지난해 11월 14일부터는 오픈뱅킹 등록과 이를 통한 출금·조회를 막는 '오픈뱅킹 안심차단'이 추가됐다.

금융위원회 자료를 보면 SKT 해킹 사고 직후인 2025년 5월 12일 기준 여신거래 안심차단 누적 가입자는 255만 명, 비대면 계좌개설 안심차단은 204만 명이었다. 사고가 알려진 4월 22일부터 5월 12일까지 3주가량 동안에만 각각 212만 명, 188만 명이 새로 가입해 대형 정보유출 사고가 가입을 끌어올린 것으로 나타났다. 연령별로는 60대 이상 비중이 가장 높았다.

신청은 거래 중인 은행·저축은행·농협·수협·신협·새마을금고·산림조합·우체국 영업점을 방문하거나, 은행 모바일뱅킹과 금융결제원 '어카운트인포'에서 할 수 있다. 2025년 5월 제도 개선으로 위임을 받은 배우자·직계가족 등이 대신 신청할 수 있고, 여신거래 안심차단에서 신용카드 신규 발급 차단은 선택 사항이 됐다. 해제는 무단 해제를 막기 위해 영업점에서 본인 확인을 거쳐야 하므로, 대출이나 계좌 개설 계획이 있다면 일정을 고려해 두는 것이 좋다.

금융감독원이 2003년부터 운영해 온 '개인정보노출자 사고예방시스템'도 함께 쓸 만하다. 금감원 소비자포털 '파인'이나 은행 영업점에서 등록하면 정보가 금융회사에 실시간 공유돼, 누군가 내 명의로 거래하려 할 때 영업점 단말기에 본인확인 주의 문구가 뜨고 명의도용이 의심되면 거래가 제한된다.

피해가 의심될 때는

유출 통보를 받았다면 우선 해당 금융회사가 운영하는 전용 상담 창구에서 유출 항목과 보상 절차를 확인하는 것이 좋다. 보이스피싱 등 2차 피해가 의심되면 경찰청 전기통신금융사기 통합대응단(1394)에서 상담받을 수 있고, 실제로 돈을 보냈다면 즉시 112나 송금한 금융회사 콜센터에 지급정지를 요청해야 한다.

금융당국은 전 금융권 보안체계 전수점검의 구체적 범위와 일정을 금융권과 협의해 확정할 방침이다. 이투데이에 따르면 이르면 이번 주 금융회사들과 간담회를 열어 외부 연결 시스템 점검 방안을 논의할 예정이어서, 추가 피해 회사가 확인될 가능성도 남아 있다.