[보안 이슈] 우리은행 1만7천 명 정보 유출, 그런데 계좌·비밀번호는 안 털렸습니다 — 진짜 위험한 건 ‘CI’
우리은행 고객 1만 7,551명의 개인정보가 유출됐지만, 정작 계좌번호도 비밀번호도 털리지 않았습니다. 진짜 쟁점은 함께 유출된 ‘CI(연계정보)’입니다.
안녕하세요, dailybetter입니다.
“은행 정보 유출”이라는 말만 들으면 통장이 비는 상상부터 하게 되지만, 이번 사고는 흔히 떠올리는 해킹과는 성격이 완전히 다릅니다.
무엇이 유출됐고 무엇은 안전한지, 유출된 ‘CI(연계정보)’가 실제로 어디까지 위험한지를 불필요한 공포도 근거 없는 안심도 없이 정리하고, 지금 해야 할 행동만 짚겠습니다.
무슨 일이 있었나 — 해킹이 아니라 ‘외주업체가 안 지운 자료’
2026년 7월 3일, 우리은행은 고객 개인정보 1만 7,551건이 유출됐다고 공식 발표했습니다. 핵심은 우리은행 전산망이나 인터넷뱅킹이 뚫린 게 아니라는 점입니다. 과거 우리은행의 NFT(대체불가토큰) 플랫폼 구축에 참여했던 외부 개발업체가 사업이 끝난 뒤에도 고객 정보를 임의로 보관하다가, 직원 과실로 외부 개발자 공유 플랫폼에 자료가 노출된 사고입니다.
우리은행은 6월 30일 유출 사실을 인지한 즉시 정보 접근을 차단했고, 개발업체는 개인정보보호위원회에 신고한 뒤 공지를 올렸습니다. 은행권에서 반복되는 ‘외주 관리 부실’ 사고의 전형으로, 내 잘못이 아닌데 내 정보가 새어 나갔다는 점에서 개운치 않은 사건입니다.
유출된 건 ‘CI와 닉네임’뿐 — 무엇이 안전하고 무엇이 위험한가
이번에 유출된 항목은 연계정보와 이용자 닉네임 두 가지뿐입니다. 주민등록번호·전화번호·주소·계좌번호·비밀번호·카드정보는 포함되지 않았습니다. 그래서 지금 당장 계좌에서 돈이 빠져나갈 위험은 낮습니다.
그렇다면 CI는 뭘까요.
| 유출 항목 | 무엇이고 왜 위험한가 |
|---|---|
| CI (연계정보) | 주민등록번호를 암호화해 만든 88자리 고유 식별번호로, 여러 사이트·기관에서 “이 사람이 같은 사람”임을 확인하는 데 쓰입니다. 유출돼도 원래 주민번호를 역으로 알아낼 수는 없지만, 다른 곳에서 새어 나온 정보와 짜맞춰질 때 신원 확인의 한 조각으로 악용될 수 있습니다. |
| 닉네임 | 서비스에서 쓰던 표시 이름입니다. 그 자체로는 위험도가 낮지만, 다른 유출 데이터와 결합되면 프로파일링에 보태집니다. |
CI 하나만으로는 대출을 받거나 계좌를 여는 등 금융거래를 실행할 수 없습니다. 금융거래에는 반드시 본인 명의 휴대폰 인증, 신분증, 비밀번호 같은 추가 관문이 필요하기 때문입니다. 이번 사고는 “즉각적 금전 피해”가 아니라 “장기적으로 다른 유출과 결합될 위험”으로 이해하는 게 정확합니다.
나는 지금 무엇을 해야 하나 — 과하지도 모자라지도 않게 3가지
1. 우리은행 공식 공지에서 내가 대상인지 확인하기. 우리은행은 홈페이지에 유출 안내와 추가피해 예방 페이지를 열어 두었습니다. 문자·메일 개별 통지를 받았다면 링크를 함부로 누르기 전에 대표번호나 공식 앱으로 사실 여부를 먼저 확인하세요. 유출 직후에는 이를 빙자한 사칭 문자가 늘어납니다.
2. 명의도용방지, ‘엠세이퍼(M-safer)’로 잠가두기. CI 유출의 최악 시나리오는 내 명의로 몰래 휴대폰이 개통되는 것입니다. 한국정보통신진흥협회가 운영하는 무료 서비스 엠세이퍼에서 내 명의 개통 현황을 조회하고 신규 개통을 아예 차단할 수 있습니다. 통신 가입을 걸어 잠그는 ‘공짜 자물쇠’입니다.
3. ‘어카운트인포’로 모르는 계좌가 있는지 훑어보기. 금융결제원이 운영하는 계좌정보통합관리서비스(어카운트인포)에서 본인인증만 하면 전 금융기관에 개설된 내 명의 계좌를 한 번에 볼 수 있습니다. 만든 기억이 없는 계좌를 확인하고, 안 쓰는 계좌를 정리하면 명의도용 감시가 훨씬 수월해집니다.
하나만 더하면, 우리은행 비밀번호를 다른 사이트에서도 똑같이 쓰고 있다면 이번 기회에 바꾸길 권합니다. 유출 사고를 미리 통지받고 싶다면 개인정보 유출 사전 통지제도 함께 챙겨두면 좋습니다.
자주 나오는 궁금증
Q. 계좌 비밀번호를 지금 급하게 바꿔야 하나요?
이번 유출 항목에 비밀번호·계좌번호는 없어 급한 조치는 아닙니다. 다만 우리은행과 같은 비밀번호를 여러 사이트에서 돌려쓰고 있다면 그건 사고와 무관하게 바꾸는 게 좋습니다.
Q. CI가 유출되면 제 명의로 대출이 나가나요?
CI 하나만으로는 불가능합니다. 대출·계좌 개설에는 휴대폰 본인인증과 신분증 등 추가 관문이 있어 CI는 그중 한 조각일 뿐입니다. 그래서 통신 개통을 막는 엠세이퍼가 실효성 있는 방어책입니다.
Q. 지금까지 실제 피해가 있었나요?
우리은행은 현재까지 유출 정보가 확산·악용된 사례는 확인되지 않았다고 밝혔습니다. 다만 “지금 없음”이 “앞으로도 없음”은 아니므로 예방 조치는 해두는 편이 안전합니다.
“내가 통제할 수 없는 곳에서 새어 나간 정보라도, 그 다음 확산은 내가 막을 수 있습니다.”
이번 사고의 진짜 교훈은 “은행은 안 뚫렸는데 내 정보는 샜다”는 구조입니다. 원청 은행의 보안이 아무리 튼튼해도, 사업이 끝난 외주업체가 고객 데이터를 파기하지 않고 쥐고 있으면 그 지점이 가장 약한 고리가 됩니다. 개인이 통제할 수 없는 영역이기에 우리가 할 수 있는 건 ‘유출 이후의 확산’을 막는 방어선입니다.
엠세이퍼로 통신 개통을 잠그고 어카운트인포로 내 계좌를 주기적으로 점검하는 습관이, 다음에 어디선가 또 정보가 샜을 때 나를 지키는 안전망이 됩니다. 공포에 떨 일도 아니지만, “악용 사례 없음”이라는 한 줄에 마음 놓고 아무것도 안 하는 것도 곤란합니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요