[보안 이슈] 한 달 새 금융사 37곳이 뚫렸습니다 — 주민번호·계좌번호가 샜다면 비밀번호부터 바꾸세요
한 달 새 금융사 37곳이 뚫려 47만3,000건의 정보가 유출되고 약 10억 원이 빠져나갔습니다. 비밀번호가 직접 털린 건 아니지만, 그래도 지금 바꾸는 게 맞습니다.
안녕하세요, dailybetter입니다.
금융당국이 지난 한 달여 동안 은행·증권·보험·가상자산거래소 등 금융사 37곳에서 47만3,000건의 정보가 유출되고 약 10억 원의 자금이 빠져나갔다고 공식 집계했습니다. “금융권 전체가 해킹당했다”는 제목만 보면 ‘내 계좌 돈이 사라지나’ 싶어 겁부터 납니다.
그런데 이번 사고는 한 꺼풀 벗겨 봐야 내가 지금 뭘 해야 하는지가 정확히 보입니다. 결론부터 말하면, 비밀번호가 직접 털린 건 아니지만 그래도 바꾸는 게 맞습니다. 그 이유를 하나씩 풀어 보겠습니다.
무슨 일이 있었나 — 37곳, 40건, 한 달 사이
금융위원회 집계에 따르면 2026년 9월 30일 첫 침해사고가 확인된 이후 11월 3일까지, 단 한 달여 만에 37개사에서 총 40건의 침해사고가 신고됐습니다. 피해 업종은 은행 4곳, 금융투자 5곳, 보험 3곳, 저축은행 5곳, 상호금융 1곳, 여신전문금융 2곳, 온투업(온라인투자연계금융업) 4곳, 전자금융업 10곳, 가상자산업 3곳으로, 전통 금융사부터 핀테크·코인거래소까지 업권을 가리지 않았습니다. 특정 한 회사의 실수가 아니라, 비슷한 취약점을 공유한 업계 전반이 짧은 기간에 집중적으로 노려졌다는 뜻입니다.
여기서 중요한 분리선이 하나 있습니다. ‘정보 유출’과 ‘자금 탈취’는 서로 다른 사고라는 점입니다. 47만3,000건은 정보가 샌 규모, 10억 원은 돈이 실제로 빠져나간 규모인데, 10억 원 탈취는 대부분 소형 가상자산거래소·전자금융업·온투업이 자체 관리하던 자금(핫월렛, 예치금, 포인트 등)에서 발생했습니다. 쉽게 말해 회사 금고에서 빠져나간 돈이지, 고객 개인 계좌에서 인출된 돈이 아닙니다. 현재까지 개별 고객 계좌에서 돈이 빠져나간 사례는 확인되지 않았다는 것이 당국의 설명입니다.
어떤 정보가 샜나 — 그리고 각각 왜 위험한가
유출된 항목은 금융사 임직원 정보와 고객의 이름·주민등록번호·계좌번호가 중심입니다. 항목만 나열하면 와닿지 않으니, 각각이 무엇이고 왜 신경 써야 하는지 짚어 보겠습니다.
| 유출 항목 | 무엇인가 | 왜 위험한가 |
|---|---|---|
| 이름 + 주민등록번호 | 나를 특정하는 가장 강력한 신원값 | 둘이 묶이면 내 명의로 통신 개통·대출 시도 같은 명의도용의 재료가 됩니다 |
| 계좌번호 | 입출금 계좌를 가리키는 번호 | 번호만으로 돈이 빠지진 않지만, “○○은행 계좌가 정지됐다”며 접근하는 사칭의 신빙성을 높입니다 |
| 이름·전화번호 | 연락 가능한 기본 정보 | 내 이름을 콕 집은 스미싱·피싱 문자의 표적이 됩니다 |
예를 들어 평소 “고객님, 대출 안내입니다” 같은 불특정 문자는 넘기기 쉽지만, “홍길동 고객님, ○○은행 1234 계좌 관련 확인이 필요합니다”처럼 내 실명과 계좌 끝자리까지 정확히 부르는 연락은 의심을 풀게 만듭니다. 유출된 신원값이 바로 이 ‘그럴듯함’의 재료가 됩니다. 반대로 계좌 비밀번호, 결제에 직접 쓰이는 정보가 유출된 사례는 보고되지 않았습니다. 이번 사고가 ‘지금 당장 돈이 사라지는 사고’는 아니라는 근거가 이 지점입니다.
그런데 왜 비밀번호를 바꿔야 하나
비밀번호가 안 샜다면서 바꾸라니 모순처럼 들립니다. 이유는 두 가지입니다. 첫째, 주민등록번호와 계좌번호가 한 세트로 샜다는 건 공격자가 ‘진짜 내 금융정보’를 쥐었다는 뜻이고, 이를 미끼로 한 정교한 사칭이 뒤따를 수 있습니다. 둘째가 더 현실적인데, 많은 사람이 여러 사이트에서 같은 비밀번호를 재사용합니다. 공격자는 한 곳에서 확보한 이메일·비밀번호 조합을 수십 개 금융·포털 사이트에 자동으로 대입해 봅니다(크리덴셜 스터핑). 열 곳에 같은 비밀번호를 썼다면 한 곳만 뚫려도 나머지 아홉 곳이 동시에 열리는 셈입니다. 내 정보가 샌 곳을 당장 특정하기 어려운 상황에서는, 같은 비밀번호를 쓰던 계정들을 서로 다르게 바꿔 두는 것이 비용 0원으로 할 수 있는 최선의 예방책입니다.
지금 바로 할 세 가지
그래서 당장 뭘 하면 되는지, 다음 세 가지면 충분합니다.
- 비밀번호 분리·변경 — 주거래 은행·증권 앱과, 그 앱과 같은 비밀번호를 쓰던 계정들을 각각 다른 비밀번호로 바꾸세요. 특히 가상자산거래소·전자금융(간편결제) 앱을 쓴다면 이번 피해 업권과 겹치므로 우선순위로 두세요. 2단계 인증(OTP·생체인증)을 안 켜 뒀다면 이참에 켜는 것이 효과가 가장 큽니다.
- 내 명의 계좌 전수 점검 — 금융결제원 ‘계좌정보통합관리서비스(어카운트인포)’에서 내 이름으로 열린 모든 계좌를 한 번에 조회하고, 모르는 계좌가 있으면 즉시 지급정지를 걸 수 있습니다.
- 명의도용 원천 차단 — 한국정보통신진흥협회의 ‘엠세이퍼(M-Safer)’에서 가입제한을 걸면, 누가 내 주민번호로 휴대폰을 몰래 개통하는 것을 막을 수 있습니다. 통신 가입에 거는 ‘공짜 2단계 잠금’인 셈입니다.
내 돈이 실제로 빠져나갔을지 걱정된다면, 현재까지 개별 고객 자금 손실은 확인되지 않았습니다. 다만 모르는 출금·거래 알림이 오면 해당 금융사 콜센터와 금융감독원(1332)에 즉시 신고하세요. 알림 자체가 안 오도록 꺼 둔 분이라면, 이번 기회에 입출금 즉시 알림(문자·앱 푸시)을 다시 켜 두는 것만으로도 이상 거래를 가장 빨리 잡아낼 수 있습니다.
“특정 한 곳이 털렸을 때만 움직이지 않는 사람이, 어느 회사가 다음에 뚫리든 가장 덜 흔들립니다.”
💡 dailybetter 분석가 Note
이번 사고의 진짜 메시지는 ’47만 건’이라는 숫자보다, 한 달 새 업권을 가리지 않고 37곳이 뚫렸다는 빈도에 있습니다. 금융당국이 580여 개 금융사 전수점검(11월 30일·12월 31일 2단계)에 나서고 CEO·CISO(최고정보보호책임자)의 책임까지 묻겠다고 한 것도 그래서입니다. 교훈은 단순합니다. 특정 한 곳이 털렸을 때만 움직이지 말고, 비밀번호 재사용을 끊고 어카운트인포·엠세이퍼를 평상시에 걸어 두는 것 — 이 ‘기본 방어선’을 미리 쳐 두는 사람이 어느 회사가 다음에 뚫리든 가장 덜 흔들립니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요