2026년 10월 16일 업데이트. 금융당국은 금융권 침해사고가 확인된 회사가 16곳, 현재까지 파악된 개인정보 유출 규모가 약 10만 건이라고 밝혔다. 유출 정보에는 성명·연락처·주민등록번호·이메일 등이 포함됐지만, 계좌 비밀번호·카드번호처럼 직접 부정결제로 이어질 수 있는 정보의 유출은 현재 확인되지 않았다.
지금 확인할 핵심
- 침해사고 확인 금융회사: 총 16개사
- 현재 확인된 개인정보 유출: 약 10만 건
- 유출 항목: 성명·연락처·주민등록번호·이메일 등
- 계좌 비밀번호·카드번호 유출: 현재까지 확인되지 않음
- AI 해킹 여부·동일 공격자 여부: 조사 중이며 확정되지 않음
- 피해 회사와 유출 건수는 추가 조사에 따라 늘어날 수 있음
금융사 해킹 피해 16곳 명단
금융위원회가 10월 14일 공개한 업권별 침해사고 확인 회사는 다음과 같다. 단순 공격 시도가 있었던 회사와 실제 침해사고가 확인된 회사를 혼동하지 않도록 공식 발표 기준으로 정리했다.
- 은행: 신한은행, KB국민은행, BNK부산은행, 하나은행
- 저축은행: 예가람저축은행, 웰컴저축은행, DB저축은행, OK저축은행
- 여신전문금융: 현대캐피탈, 산은캐피탈
- 온라인투자연계금융: PFCT, 모우다
- 전자금융: 브라이트픽스
- 가상자산사업자: 스트리미, 프라뱅
- 상호금융: 새마을금고중앙회
이 명단에 포함됐다고 해서 각 회사의 모든 고객 정보가 유출됐다는 뜻은 아니다. 회사별 피해 대상과 유출 항목·인원은 다르며, 금융회사는 실제 정보 유출 대상자에게 대응요령을 포함한 개별 통지를 하도록 관리·감독받고 있다.
10만 건에는 어떤 정보가 포함됐나
금융당국이 현재까지 집계한 약 10만 건에는 성명, 연락처, 주민등록번호, 이메일 등이 포함됐다. 다만 회사별로 유출된 항목은 서로 다르다. 기존에 확인된 예가람저축은행 고객 정보와 현대캐피탈 주택대출 모집인 정보처럼, 사고마다 대상과 범위가 같지 않다.
계좌 비밀번호와 카드번호의 유출은 현재 확인되지 않았다. 그렇다고 아무 조치가 필요 없다는 의미는 아니다. 주민등록번호와 연락처가 결합되면 금융기관을 사칭한 보이스피싱·스미싱·명의도용에 악용될 수 있으므로, 개별 통지를 받았다면 공식 채널을 통해 내용을 확인해야 한다.
‘AI 해킹’은 확정됐나
금융당국은 각 사고의 침해 경로와 공격 방식, 사건 사이의 연관성, 동일 공격자 여부와 AI 활용 가능성을 조사하고 있다. 따라서 현 단계에서 16건 전체를 동일 조직의 공격이나 확정된 ‘AI 해킹’으로 단정하면 안 된다. 확인된 사실은 금융회사 16곳에서 침해사고가 발생했고 약 10만 건의 정보 유출이 파악됐다는 데까지다.
내 정보가 유출됐는지 확인하는 방법
- 금융회사 공식 앱·홈페이지 확인: 문자 속 링크를 누르지 말고 평소 사용하던 앱이나 직접 입력한 공식 주소에서 공지와 개별 통지 여부를 확인한다.
- 고객센터로 재확인: 통지를 받았거나 대상 여부가 불분명하다면 금융회사 공식 대표번호로 유출 항목과 사고 접수번호를 확인한다.
- 개인정보노출자 등록 검토: 주민등록번호 등 중요 정보 유출 통지를 받았다면 금융감독원 개인정보노출자 사고예방시스템 등록을 검토한다. 등록 후 신규 금융거래 때 본인확인이 강화된다.
- 명의도용 회선 점검: Msafer 명의도용방지서비스에서 본인 명의 휴대전화·인터넷 회선을 확인한다.
- 이상거래 즉시 신고: 모르는 대출·계좌·카드 결제가 보이면 해당 금융회사에 지급정지와 조사를 요청하고 실제 피해가 발생했다면 경찰 112에 신고한다.
스미싱 문자는 이렇게 구분한다
유출 사고 직후에는 ‘피해보상 신청’, ‘보안 앱 설치’, ‘계좌 보호를 위한 인증’ 등을 내세운 2차 피싱이 늘 수 있다. 금융회사나 금융당국을 사칭해 앱 설치를 요구하거나 원격제어 프로그램 설치, 비밀번호·인증번호·보안카드 정보 입력을 요구하면 응하지 않아야 한다. 보상이나 확인 절차가 필요하더라도 문자 링크가 아니라 공식 앱·홈페이지·대표번호에서 다시 시작하는 편이 안전하다.
개인정보 유출 뒤의 공통 조치는 개인정보 유출 시 비밀번호 변경·명의도용 확인 가이드에서도 확인할 수 있다.
금융당국의 후속 조치
금융당국이 555개 금융회사를 대상으로 12개 보안 항목을 점검한 결과 130개사가 일부 미흡사항을 보고했다. 주요 항목은 최신 보안패치 미적용, 기술지원이 종료된 시스템 관리 미흡, 24시간 보안관제 미구축, 외부 접속 시스템의 인증·접근통제 부족 등이다.
당국은 외부 연결 접점과 인증체계, 내부통제 전반을 추가 점검하고 대형 금융회사부터 취약점 점검 주기를 연 2회 이상으로 확대하는 방안을 추진한다. 다만 구체적인 점검 범위와 일정, 제도 변경 내용은 아직 확정 전이므로 후속 발표를 확인해야 한다.