금융보안원 해킹, 48개 금융사 자료 유출…고객정보도 위험할까?

금융권의 사이버 보안과 정보보호 업무를 지원하는 금융보안원에서 해킹으로 인한 정보 유출 사고가 발생했습니다. 금융보안원이 2026년 11월 9일 비정상 접근을 확인했고, 조사 과정에서 48개 금융회사와 관련된 파일 130여 개가 유출된 것으로 추정됐습니다.

그렇다면 일반 금융고객의 계좌번호나 신용정보까지 유출된 것일까요? 금융보안원은 11월 10일 공식 발표에서 금융회사 핵심 보안정보와 주민등록번호, 고객의 민감 신용정보 유출은 확인되지 않았다고 밝혔습니다. 하지만 금융회사 직원 등의 개인정보와 시스템 이용자 정보는 일부 유출돼 조사가 진행 중입니다.

금융보안원 해킹, 어떤 시스템이 공격받았나?

금융보안원은 금융권의 침해사고 대응과 보안 점검, 개인정보 보호 관련 업무를 지원하는 전문기관입니다.

이번에 공격받은 곳은 금융회사들이 개인정보 보호 수준을 평가받는 과정에서 행정서식과 증빙자료 등을 제출하는 정보보호 상시평가 시스템입니다.

금융보안원에 따르면 11월 9일 오후 3시경 이 시스템에서 외부의 비정상적인 접근으로 정보가 유출된 사실을 확인했습니다. 금융보안원은 시스템 접속을 차단하고 금융위원회와 한국인터넷진흥원에 신고했다고 밝혔습니다.

중요한 점은 이 시스템이 일반 금융고객의 입출금이나 송금, 금융거래를 처리하는 시스템은 아니라는 것입니다.

또 금융보안원은 해당 상시평가 시스템이 금융회사 전산망의 취약점 분석·평가 결과와 같은 핵심 보안자료를 수집하지 않는다고 설명했습니다.

금감원 권한의 가짜 계정으로 접근했다는 보도는 무엇일까?

사고 조사와 관련한 보도에 따르면 공격자는 금융보안원 시스템의 권한 승인 과정에서 취약한 부분을 악용해 금융감독원 수준의 권한을 가진 허위 계정을 만든 것으로 전해졌습니다.

이 계정을 통해 여러 금융회사의 제출 자료에 접근하고 파일을 내려받은 정황이 조사되고 있습니다.

다만 현재까지 확인된 내용에 따르면 실제 금융감독원 직원의 아이디나 비밀번호가 탈취돼 사용된 것으로 파악된 것은 아닙니다.

따라서 금융감독원 계정 탈취와 금융감독원 권한을 사칭한 허위 계정 생성은 구분해야 합니다.

공격에 사용된 IP 246개는 무엇을 의미할까?

보안 전문매체 취재에서는 약 246개의 인터넷주소(IP)가 공격에 사용된 것으로 파악됐다는 내용이 나왔습니다.

IP 주소는 인터넷 연결을 식별하는 주소입니다. 여러 IP를 번갈아 사용하면 한 주소에서 반복적으로 접근하는 경우보다 이상 징후를 추적하기 어려워질 수 있습니다.

그러나 246개의 IP가 공격자 246명을 의미하는 것은 아닙니다. 공격자가 여러 서버나 중계 경로를 사용할 수 있고, 국내 IP 주소가 확인됐다는 사실만으로 공격자가 국내에 있다고 확정할 수도 없습니다.

또 IP 246개는 금융보안원의 11월 10일 공식 보도자료에 명시된 수치가 아니라 취재 보도에서 확인된 수치입니다. 실제 공격에 이용된 전체 경로와 침입 방식은 경찰 수사 및 금융당국 조사 결과를 확인해야 합니다.

48개 금융회사에서 무엇이 유출됐나?

경찰 수사 착수 당시 보도에서는 48개 금융회사와 관련된 파일 130여 개가 유출된 것으로 추정됐습니다.

금융보안원 공식 발표에서 확인된 정보 종류는 행정서식 약 200건, 그 서식에 포함된 이름·생년월일 등의 개인정보 약 300건, 마스킹 처리된 이름·연락처·이메일 등 시스템 이용자 정보 약 350건입니다.

130개 파일인데 850건의 정보가 나온 이유

130여 개는 외부로 유출된 것으로 추정되는 파일의 개수입니다. 반면 약 200건의 행정서식과 약 300건의 개인정보, 약 350건의 시스템 이용자 정보는 해당 자료에 포함된 기록과 정보의 유형별 규모입니다.

하나의 파일에 여러 서식과 개인정보가 들어 있을 수 있으므로 두 수치는 서로 모순되지 않습니다.

또 단순히 200과 300, 350을 더해 850명이 피해를 봤다고 표현해서는 안 됩니다. 같은 사람의 정보가 여러 자료에 포함됐을 수 있고, 행정서식은 사람 수를 나타내는 단위가 아니기 때문입니다.

실제 영향을 받은 정보주체 수는 중복 여부와 정확한 유출 범위를 확인해야 알 수 있습니다.

일반 금융고객의 신용정보도 유출됐을까?

금융보안원은 11월 10일 공식 보도자료에서 지금까지 확인된 유출 자료에 금융회사 시스템 구성도 등 핵심 보안정보와 주민등록번호, 개인신용정보 등 고객 민감정보가 포함되지 않았다고 발표했습니다.

이번 상시평가 시스템은 금융회사 고객의 계좌 거래를 직접 처리하지도 않습니다.

따라서 이번 사고만으로 일반 금융고객의 은행 계좌가 해킹됐다거나 계좌 잔액이 유출됐다고 판단할 근거는 없습니다.

하지만 이것이 개인정보 유출이 전혀 없었다는 뜻은 아닙니다. 금융회사 직원과 시스템 이용자 등에 관한 개인정보는 실제 유출된 것으로 확인됐습니다.

48개 금융회사가 모두 직접 해킹된 것은 아니다

이번 사고에서 48개 회사는 금융보안원의 상시평가 시스템에 제출한 자료가 유출된 것으로 추정되는 관련 금융회사 수입니다.

이 수치가 곧 48개 금융회사 내부 전산망이 각각 침입당했다는 뜻은 아닙니다.

또 금융보안원에 제출된 직원 정보가 유출된 것과 해당 금융회사의 모든 고객 신용정보가 유출된 것은 구별해야 합니다.

이 구분을 놓치면 실제 사고 범위보다 피해가 훨씬 넓은 것처럼 잘못 이해할 수 있습니다.

금융회사 직원 개인정보 유출도 주의가 필요한 이유

일반 금융고객의 민감 신용정보가 유출되지 않은 것으로 확인됐더라도, 금융회사 관련 담당자의 이름과 연락처 등은 악용될 가능성을 점검해야 합니다.

공격자가 업무 담당자의 소속이나 이름을 알고 있다면 실제 업무 연락처럼 보이는 사칭 메시지를 보내거나, 추가 자료를 요구하는 방식의 사회공학적 공격을 시도할 수 있기 때문입니다.

다만 이런 가능성은 개인정보 유출 사건에서 고려할 수 있는 일반적인 위험입니다. 이번 금융보안원 사고에서 실제로 특정 유형의 2차 공격이 발생했다는 사실을 뜻하지는 않습니다.

금융보안원은 관련 금융회사에 유출 사실을 안내했고, 영향받은 정보주체에게도 사고 내용과 피해 예방사항을 신속하게 통지하겠다고 밝혔습니다.

11월 16일 금융위원회 특정감사에서 확인할 사항

금융위원회와 금융감독원은 사고 경위를 확인하기 위해 현장점검을 진행하고 있습니다.

금융위원회는 2026년 11월 16일부터 금융보안원을 대상으로 특정감사를 실시할 계획이라고 11월 12일 보도를 통해 알려졌습니다.

경찰도 공격에 사용된 IP와 계정 생성 경위 등을 조사하고 있습니다.

특정감사 착수 계획은 확인됐지만 11월 13일 현재 감사 결과가 나온 것은 아닙니다.

금융보안원의 구체적인 보안 관리상 책임과 향후 제도 개선 내용은 조사 및 감사 결과에 따라 판단해야 합니다.

금융보안원 사고 후 금융소비자가 확인할 것은?

이번 사고가 발생했다고 해서 모든 금융고객이 계좌를 폐쇄하거나 은행 비밀번호를 즉시 바꿔야 하는 상황이 확인된 것은 아닙니다.

하지만 금융기관이나 감독당국을 사칭한 연락에 주의하는 것은 도움이 됩니다.

특히 문자메시지로 개인정보 유출 보상, 피해금 환급, 본인확인을 명목으로 링크를 보내거나 앱 설치·인증번호 제공을 요구한다면 공식 경로를 통해 사실 여부를 확인해야 합니다.

의심스러운 연락이나 악성 링크가 있다면 한국인터넷진흥원 118 상담센터를 통해 상담할 수 있습니다.

실제 금융거래 피해가 의심된다면 이용 중인 은행·카드사 등 해당 금융회사의 공식 고객센터를 통해 계정 보호 및 거래 확인 절차를 진행해야 합니다.

금융보안원 공식 홈페이지에서 사고 관련 공지 확인하기

금융보안원 해킹 관련 자주 묻는 질문

금융보안원 해킹은 언제 발생했나요?

금융보안원은 2026년 11월 9일 상시평가 시스템에서 비정상 접근과 정보 유출을 확인했다고 밝혔습니다. 최초 침입 시점과 전체 공격 기간은 조사 대상입니다.

48개 금융회사가 모두 해킹당한 건가요?

아닙니다. 금융보안원에 제출된 48개 금융회사 관련 파일 130여 개가 유출된 것으로 추정되는 사건입니다. 각 금융회사 전산망이 모두 침입당했다는 뜻은 아닙니다.

일반 고객의 계좌번호와 신용정보도 유출됐나요?

금융보안원 공식 발표 당시 금융고객의 민감 신용정보와 주민등록번호, 금융회사 핵심 보안정보는 유출되지 않은 것으로 확인됐습니다. 다만 일부 직원 개인정보와 시스템 이용자 정보는 유출됐고 추가 조사도 진행 중입니다.

공격에 사용된 IP가 246개였다는 말은 사실인가요?

보안 전문매체에서는 약 246개 IP가 사용된 것으로 취재·보도했습니다. 다만 금융보안원의 공식 발표에 수치가 명시된 것은 아니며, 실제 공격자 수나 국적을 뜻하지 않습니다.

금융감독원의 실제 계정이 탈취된 건가요?

보도된 조사 내용에 따르면 실제 금감원 계정정보를 탈취한 것이 아니라 금감원 권한의 허위 계정을 만들어 사용한 정황입니다. 구체적인 접근 경로는 계속 조사 중입니다.

유출 건수가 약 850건이면 피해자가 850명인가요?

그렇지 않습니다. 행정서식 200건, 서식 내 개인정보 300건, 이용자 정보 350건은 서로 다른 유형의 기록입니다. 정보가 중복될 수 있으므로 전체를 더해 실제 피해자 수로 해석할 수 없습니다.

금융위원회 감사는 언제 진행되나요?

2026년 11월 12일 보도에 따르면 금융위원회는 11월 16일부터 금융보안원에 대한 특정감사에 착수할 예정입니다. 감사 결과는 아직 확정되지 않았습니다.

금융보안원 해킹, 실제 유출 범위를 구분해 봐야 한다

이번 사건은 금융권 보안을 지원하는 기관에서 발생했다는 점에서 주목받고 있습니다. 금융보안원의 상시평가 시스템에서 48개 금융회사와 관련된 자료가 유출된 것으로 추정됩니다.

일부 개인정보와 시스템 이용자 정보는 실제 유출됐지만, 공식 발표 당시 일반 금융고객의 민감 신용정보나 금융회사 핵심 보안정보 유출은 확인되지 않았습니다.

따라서 모든 은행 계좌가 위험해졌다거나 48개 금융회사의 전산망이 각각 해킹됐다고 확대 해석해서는 안 됩니다.

앞으로는 경찰 수사와 금융위원회 특정감사를 통해 실제 침입 경로와 최종 유출 범위, 추가 피해 여부 및 재발방지 대책이 어떻게 확인되는지 살펴볼 필요가 있습니다.