금융사 7곳 연쇄 해킹, 유출 60%는 은행 아닌 저축은행이었다

4만 명이에요. 이번 연쇄 해킹에서 한 곳으로는 제일 많이 샌 숫자예요. 근데 이게 은행이 아니라 예가람저축은행 숫자라는 걸 아는 사람은 별로 없더라고요.

9월 28일부터 일주일 사이 금융사 7곳에서 정보가 샜어요. 뉴스 제목은 대부분 “5대 은행”이었고요. 공개된 숫자를 직접 더해 봤어요. 그림이 꽤 달랐어요.

서울 중구의 신한은행 본점 건물 (자료사진·위키미디어)

일주일 사이 7곳, 같은 통로로 들어왔다

시작은 신한은행이에요. 금융위원회 자료에 “9월 30일 발생한 신한은행 정보유출 사고”로 나와요. 고객 2만 5729명이었어요. 연 소득과 대출 한도, 주민등록번호까지 나갔어요. 이건 10월 1일에 쓴 신한은행 글에서 다뤘어요.

MBN 뉴스센터 「저축은행·상호금융까지 전방위 해킹…당국, 금융권 긴급 소집」 (2026.10.4, 유튜브)

그 뒤로 줄줄이 나왔어요. KB국민 119명, 하나 89명, 부산은 외주 직원 11명이에요. NH농협과 우리은행은 막았어요. 당국은 이 6곳을 같은 해커 소행으로 보고 있어요.

9월 28일부터 일주일 동안 정보가 샌 금융사 7곳과 뚫린 통로 (직접 만든 표)

은행 밖도 있어요. 예가람저축은행 4만 명, 웰컴저축은행 2200건(법인), 현대캐피탈 모집인 146명이에요. 이 3곳은 IP가 달랐어요. 수법은 비슷했고요.

KB국민은행 지점 앞 모습 (자료사진·위키미디어)

근거는 “아르텍스(ARTEX)”예요. 중국어 기반 AI 자율 침투 도구예요. AI가 약점을 찾고 다음 수를 스스로 골라요. 박상원 금융보안원장은 “공통된 IP에 아르텍스 흔적이 있다”고 했어요. 공개된 도구라 중국발로 단정할 순 없대요.

서울신문은 단순 합산으로 약 6만 7565명이라고 썼어요. 근데 신한을 2만 5000명으로 어림했고, 웰컴의 법인 2200건도 들어가 있어요.

그래서 명 단위로 나온 6곳만 다시 더했어요. 6만 6094명이에요. 예가람 한 곳이 60.5%예요. 신한이 38.9%고요. 나머지 4곳은요? 다 합쳐 365명, 0.55%예요.

명 단위로 공개된 유출 규모를 합쳐 본 결과 (직접 만든 그림)

이게 왜 중요하냐면요. “그 은행 안 쓰니까” 하고 넘기기 쉽거든요. 저축은행이나 캐피탈에서 대출 상담 한 번 받아 봤다면 얘기가 달라요.

하나은행 지점 건물을 위에서 본 모습 (자료사진·위키미디어, 2010년)

뚫린 곳은 하나같이 인터넷뱅킹이 아니에요. 신한은 대출모집인용 조회, KB국민과 부산은 직원용 모바일 업무지원, 하나는 영업지원시스템이었어요. 현대캐피탈도 모집인 조회 페이지였고요.

엠세이퍼(명의도용방지서비스) 첫 화면 — ① 휴대폰 명의도용 방지

휴대전화 인증 없이 대출 신청 내역을 조회하게 만든 곳도 있었대요. 직원용 서비스를 아무나 들어가게 열어 둔 곳도요. 당국 점검은 핵심 시스템에 맞춰져 있어요. 업무지원 시스템은 금융사 자율 점검이었고요.

데이터센터 건물 외관 — 금융사 전산 설비를 떠올리게 하는 모습 (자료사진·위키미디어, 국내 시설 아님)

돈은 얼마나 썼을까요? 작년 IT 투자 중 정보보호 비중은 KB국민 8.15%, 신한 7.96%, 하나 9.02%, 우리 9.06%예요. 넷 다 10%가 안 돼요. 우리은행은 444억 원에서 364억 원으로 줄었어요. 계산하면 18%예요.

금융권 긴급 점검회의가 열린 정부서울청사 (자료사진·위키미디어)

제일 걱정되는 건 이거예요. 누가 내 연 소득과 대출 한도를 대면서 “은행 상담사입니다” 하면요? 가리기 어렵잖아요. 보상 기준은 이래요.

금융감독원 개인정보노출자 사고예방시스템 — ① 내 정보 노출 등록 메뉴

상황	지금 기준	은행이 밝힌 입장
범인이 내 정보로 몰래 돈을 빼 갔다	비대면 금융사고 책임분담기준으로 구제 신청 가능	하나: 유출 정보를 쓴 보이스피싱도 보상 대상 / KB국민: 실질적 2차 피해 확인 시 배상 / 신한: 피해 확인 시 모두 보상
사칭에 속아 내가 직접 보냈다	책임분담기준 대상에서 빠짐. 무과실 배상책임은 추진 중, 아직 시행 전

2차 피해, 누가 보냈느냐에 따라 갈린다 (10월 5일 보도 내용을 직접 정리한 표 · 출처는 글 끝 「참고한 곳」)

핵심은 누가 보냈느냐예요. 몰래 빠져나간 돈은 구제 길이 있어요. 속아서 직접 보낸 돈은 지금은 빠져요. 김상봉 한성대 교수는 “정보가 유출된 금융회사가 확인해야 한다”고 했어요.

서울의 한 은행 자동화기기 코너 (자료사진·위키미디어)

지금 해 둘 건 세 개예요. 첫째, 금감원 개인정보노출자 사고예방시스템 등록이요. 내 명의 신규 계좌나 카드 발급이 막혀요. 둘째, 엠세이퍼에서 내 명의 휴대폰을 조회하고 신규 가입을 막아 두는 거예요. 셋째, 은행이라는 전화는 끊고 대표번호로 다시 걸기요.

4만 명은 처음엔 그냥 큰 숫자였어요. 은행 넷을 합쳐 365명이라는 걸 옆에 놓으니 달리 보이더라고요. 여러분은 최근에 저축은행이나 캐피탈에서 상담 받아 본 적 있으세요?

사진 출처