20곳 금융사 침해사고 확인…고객 정보 유출 가속화

한 달여간 이어진 금융권의 연쇄적인 해킹 공격으로 인해 침해사고가 발생한 금융기관이 총 20곳으로 늘어났다. 고객의 개인정보 유출 피해가 걷잡을 수 없이 커지는 가운데, 금융당국의 자체 점검 결과 금융회사의 약 23.4%에서 보안 관리 미흡 사례가 발견되어 추가 사고에 대한 경계심이 극도로 높아지고 있다.

29일 금융권에 따르면, 지난달 말 은행권을 시작으로 발생한 침해사고는 저축은행과 캐피탈, 상호금융, 온라인투자연계금융업(온투업), 전자금융업, 가상자산업계를 거쳐 보험 및 금융투자업계까지 전방위로 확산되는 양상을 보이고 있다. 구체적인 피해 업권을 살펴보면 은행권에서는 KB국민·신한·하나·BNK부산은행이, 저축은행권에서는 OK·웰컴·DB·예가람저축은행이 포함됐다. 또한 새마을금고(상호금융), 모우다·PFCT(온투업), 브라이트픽스(전자금융업), 빗썸·스트리미·프라뱅(가상자산), 현대·산은캐피탈(여신전문금융), 미래에셋생명(보험), 대신증권·미래에셋자산운용(금융투자) 등 다양한 분야에서 사고가 확인됐다.

금융당국이 지난 14일 발표한 당시 피해 규모는 16개사, 약 10만 건의 정보 유출이었으나, 이후 대신증권에서 고객 3만 8490명의 개인 및 신용정보가 유출된 사실이 추가로 드러나며 피해 규모는 더욱 확대됐다. 개별 피해 현황을 보면 예가람저축은행의 유출 대상이 4만 3246명으로 가장 많았으며, 신한은행은 2만 5729명, 모우다는 약 1만 8900명에 달하는 것으로 파악됐다. KB국민은행 역시 초기 119명에서 2210명으로 유출 규모가 늘어났고, 웰컴저축은행은 2117명, OK저축은행은 518명, 새마을금고는 400명대의 피해를 입은 것으로 집계됐다. 다만 각 사의 집계 기준 차이와 현재 진행 중인 조사 결과에 따라 전체 피해 수치는 변동될 가능성이 있다.

공격 IP 700개 급증과 PHP 취약점 발생

금융권 전반의 보안 취약성도 심각한 문제로 떠올랐다. 금융당국이 지난 8일까지 금융회사 555곳을 대상으로 12개 항목의 보안 체크리스트를 점검한 결과, 130곳(23.4%)에서 보안 관리 미흡 사항이 보고됐다. 이는 금융사 4곳 중 1곳꼴로 관리 체계에 허점이 있음을 의미한다. 다만 이러한 미흡 사항이 반드시 실제 침해사고나 정보 유출로 직결되는 것은 아니다.

금융보안원이 공유한 공격 의심 IP는 최근 한 달 사이 700개를 넘어서며 금융권의 대응을 어렵게 만들고 있다. 특히 지난 21일에는 북한 할당 IP 대역에서 국내 금융권을 향한 440만 건 이상의 스캔성 접근이 포착되어 당국이 점검을 요청하기도 했다. 다만 해당 접근이 실제 침해로 이어졌는지, 혹은 이번 연쇄 해킹과 직접적인 연관이 있는지는 아직 확인되지 않았으며, IP 할당 국가만으로 공격 주체를 단정할 수는 없다.

이러한 상황에서 웹 개발에 널리 쓰이는 PHP 언어의 신규 보안 취약점(CVE-2026-109618, CVE-2026-109619 등)이 공개되면서 위협은 더욱 가중되고 있다. 한국인터넷진흥원(KISA)은 추가 취약점(CVE-2026-115560)에 대해 임시 대응을 권고했으나, 정식 패치가 없는 경우 완화 조치가 필수적이다. 저축은행업계는 이미 관련 PHP 버전의 사용 현황 파악에 나섰다. 또한 개별 금융사가 탐지한 위협 정보가 금융권 전체에 실시간으로 공유되지 못하는 정보 공유 체계의 한계도 지적되고 있다.

금융당국의 긴급 대응 및 보안 강화 대책

금융당국은 사고 발생 회사에 대한 신속한 현장 조사와 함께 소비자 피해 배상을 위한 관리·감독을 강화하기로 했다. 이억원 금융위원장은 내달 4일 'AI 보안위협 대응 금융권 간담회'를 개최하여 보안 강화 이행 상황을 점검할 계획이다. 해당 간담회에서는 AI 기반 해킹 대응, 보이스피싱 탐지 고도화, 망 분리 이후의 신규 보안 체계 구축 등이 핵심 의제로 다뤄질 전망이다.

한편, 대신증권은 해킹 사고 이후 전수조사를 실시하여 고객명, 이메일, 주소, 통신ID, 은행명, 암호화된 계좌번호 및 휴대전화번호 등 총 8개 항목이 유출되었음을 확인했다고 밝혔다. 이번 사고는 가상자산 및 금융권 전반의 보안 수준을 재점검해야 한다는 강력한 시사점을 남기고 있다.