[보안 이슈] 산은캐피탈 고객 848명 주민번호가 털렸습니다 — 금융사 16곳 동시 해킹, 지금 확인할 3가지

무슨 일이 있었나 — 4일 동안 뚫린 줄도 몰랐습니다

공격은 10월 8일 오후에 시작됐는데, 산은캐피탈이 인지한 건 나흘 뒤인 10월 12일 저녁이었습니다. 자체 탐지가 아니라 금융보안원이 공유한 ‘공격자 인터넷주소’로 점검하다 뒤늦게 침해를 확인한 겁니다.

더 뼈아픈 건 경로입니다. 새 시스템 개발 중 내부 점검용으로 만든 ‘리테일 테스트 페이지’가 정식 오픈 뒤에도 인증 장치 없이 열려 있었고, 공격자가 이 문을 노렸습니다. 공사하면서 임시로 달아둔 뒷문을 잠그지 않고 그대로 영업한 셈입니다. 이번에 함께 적발된 금융사 다수가 이렇게 방치된 테스트·관리자 페이지로 뚫렸다는 점에서, 개인의 부주의가 아니라 금융사 쪽 보안 관리의 구멍이 원인이라는 점을 먼저 짚어둡니다.

어떤 정보가 유출됐나 — 숫자보다 ‘항목’이 중요합니다

이번 848건은 개인고객 221명, 개인사업자 343명, 법인 대표자 284명입니다. 유출 항목은 세 가지입니다.

핵심은 주민등록번호입니다. 비밀번호는 바꾸면 그만이지만, 주민번호는 한 번 새어 나가면 되돌릴 수 없습니다. 이 번호가 이름·생년월일과 세트로 묶이면 내 명의로 휴대폰을 개통하거나 비대면 대출을 시도하는 데 악용될 수 있습니다. 산은캐피탈 측은 직접적인 금전 피해는 아직 확인되지 않았다고 밝혔지만, 2차 피해는 몇 달 뒤 엉뚱한 곳에서 터지는 경우가 많아 안심하긴 이릅니다.

나는 지금 뭘 해야 하나 — 3가지만 하세요

첫째, 휴대폰 명의도용부터 막으세요. 한국정보통신진흥협회가 운영하는 무료 서비스 엠세이퍼에서 ‘가입제한’을 켜두면, 누군가 내 명의로 개통·번호이동을 시도해도 차단됩니다. 내 명의에 ‘공짜 2단계 잠금장치’를 거는 셈이고, 본인인증만으로 몇 분이면 끝납니다.

둘째, 심각하다면 주민등록번호 변경을 검토하세요. 많은 분이 모르는데, 유출 피해가 우려되면 주민번호를 바꿀 수 있습니다. 2026년 10월 4일부터는 정부24에서 ‘주민등록번호 변경 신청’을 검색해 온라인으로 접수할 수 있고, 처리 기한도 6개월에서 90일(긴급 시 45일)로 단축됐습니다. 다만 각종 등록 정보를 다시 정리해야 하는 번거로움이 큰 만큼, 실제 피해 정황이 있을 때 쓰는 최후 카드로 보시면 됩니다.

자주 떠오르는 질문 두 가지

Q. 나는 산은캐피탈 고객인데 통지를 못 받았습니다. 유출된 건가요?
산은캐피탈은 유출이 확인된 848명에게 개별 통지했다고 밝혔습니다. 통지를 못 받았다면 대상이 아닐 가능성이 높지만, 불안하다면 고객센터로 본인 여부를 직접 확인하는 편이 확실합니다.

Q. 비밀번호만 바꾸면 되나요?
이번 유출 항목에 비밀번호는 없었습니다. 그래서 비밀번호 변경보다 명의도용 차단(엠세이퍼)이 우선입니다. 다만 같은 비밀번호를 여러 금융 사이트에 돌려쓰고 있었다면 이참에 분리해두길 권합니다. 비슷한 대규모 유출 대처는 95만 뮤팟 회원 유출 대응 글에도 정리해두었습니다.

※ 참고: 행정안전부, 「주민등록번호 유출 시 온라인 변경 신청 가능」
※ 참고: 한국정보통신진흥협회, 「엠세이퍼 명의도용방지서비스 가입제한서비스 안내」