[보안 이슈] 줌펀드·페이허브서 돈이 직접 빠져나갔습니다 — 이번 해킹이 ‘정보 유출’과 다른 이유
이번엔 개인정보가 아니라 현금 약 5억 원이 계좌 밖으로 직접 빠져나갔습니다. 줌펀드 고객 예치금 약 3억 원, 페이허브 가맹점 정산자금 약 2억 원이 해킹으로 탈취됐습니다.
안녕하세요, dailybetter입니다.
최근 몇 달간 이어진 금융권 해킹은 대부분 “이름·전화번호가 샜다”는 정보 유출이었는데, 이번 사건은 성격이 다릅니다. 온라인투자연계금융업체 줌펀드와 결제대행사(PG사) 페이허브에서 돈 자체가 제3자 계좌로 흘러나갔기 때문입니다.
전문가들이 이번 건을 “연쇄 해킹의 첫 원화 피해 사례”라고 부르는 이유, 그리고 줌펀드를 써본 분이 지금 확인해야 할 것을 정리했습니다.
무슨 일이 있었나 — 돈이 ‘송금되는 길목’을 노렸습니다
해커는 줌펀드의 서버·개인정보 파일을 통째로 빼낸 게 아니라, 줌펀드가 고객 돈을 맡겨둔 예치기관에 “이 계좌로 보내라”는 송금 지시(전문)를 보내는 길목에 끼어들었습니다. 2026년 10월 25일~26일 사이 내부 전산망에 인가되지 않은 접근을 한 뒤, 정상적인 송금 요청인 것처럼 꾸며 고객 예치금을 제3자 계좌로 빼돌린 것으로 파악됐습니다. 피해 고객은 100여 명입니다.
여기서 오해하기 쉬운 지점이 있습니다. 온투업체는 고객 돈을 회사 금고가 아니라 외부 예치기관에 분리 보관하도록 돼 있습니다. “그러면 안전하지 않나” 싶지만, 돈 자체가 아니라 “돈을 보내라고 지시하는 명령”이 조작되면 분리 보관도 소용이 없습니다. 이번 사건이 보여준 구조적 허점이 바로 이것입니다.
페이허브는 조금 다릅니다. 빠져나간 2억 원은 소비자 돈이 아니라 가맹점(사장님)에게 정산해줄 자금이었습니다. 결제한 소비자가 곧바로 손해 보는 구조는 아니지만, 전자금융 결제망의 돈까지 털렸다는 점에서 파장이 큽니다.
내 정보와 내 돈, 무엇이 위험한가
줌펀드는 개인정보 유출 가능성에 대해서도 사과했습니다. 아직 “무엇이 얼마나 샜다”가 확정되진 않았지만, 내부 전산망이 뚫린 만큼 가입 시 입력한 정보가 노출됐을 가능성을 열어둔 것입니다.
- 예치금(내가 넣은 돈): 줌펀드는 “피해 고객에게 재정적 손실이 없도록 예치금 반환 조치를 준비 중”이라고 공지했습니다. 추가 인출을 막기 위해 홈페이지·앱 접속과 직접 인출 서비스는 일시 중단됐습니다.
- 개인정보(이름·연락처·계좌 등): 유출 여부가 조사 중이라 “안 샜다”고 단정할 수 없습니다. 2차 피해(스미싱·명의도용)로 이어질 수 있는 부분입니다.
| 구분 | 페이허브 | 줌펀드 |
|---|---|---|
| 빠져나간 돈 | 가맹점 정산자금 약 2억 원 | 고객 예치금 약 3억 원 |
| 직접 피해 대상 | 가맹점(사장님) | 예치금 넣은 고객 약 100명 |
| 일반 이용자 조치 | 결제 내역 이상 여부만 확인 | 예치금 반환 안내 확인 + 개인정보 대비 |
줌펀드를 써봤다면 지금 할 세 가지
비용 0원으로 지금 할 수 있는 것만 추렸습니다.
- 줌펀드 공식 안내를 먼저 확인하세요. 예치금 반환 절차와 본인 피해 여부는 회사 공지로 안내됩니다. 접속이 막혀 있으면 고객센터 공지로 확인하고, 반환 신청에 필요한 서류를 챙겨두세요.
- 같은 비밀번호를 쓰는 다른 사이트부터 바꾸세요. 줌펀드와 똑같은 아이디·비밀번호를 은행·네이버·쿠팡 등에 썼다면 그쪽이 더 급합니다. 해커가 한 곳에서 얻은 비밀번호로 다른 사이트를 차례로 열어보는 수법이 흔하기 때문입니다.
- 엠세이퍼 명의도용방지서비스에 가입하세요. 한국정보통신진흥협회가 운영하는 무료 서비스로, “내 이름으로 휴대폰·통신 가입이 되려 하면 미리 막고 문자로 알려주는 공짜 2단계 잠금”입니다. 개인정보가 샜을 때 가장 무서운 게 내 명의로 몰래 뭔가 개통되는 것인데, 이걸 입구에서 차단해 줍니다.
Q로 정리하는 궁금증
Q. 내 예치금은 날아간 건가요?
아닙니다. 줌펀드가 “피해 고객에게 재정적 손실이 없도록 반환 조치를 준비 중”이라고 공지했습니다. 절차와 시점은 공식 안내로 확인해야 합니다.
Q. 페이허브로 결제만 했는데 위험한가요?
빠져나간 건 가맹점 정산자금이라 소비자 돈이 직접 털린 구조는 아닙니다. 그래도 카드 결제 내역에 모르는 청구가 없는지 한 번 확인해 두시면 좋습니다.
Q. 개인정보가 샜는지 아직 모른다면서 왜 엠세이퍼까지 하나요?
유출 여부가 “확정 전”일 때 미리 걸어두는 게 핵심입니다. 확정된 뒤엔 이미 명의도용이 진행된 뒤일 수 있어, 비용 0원인 예방은 당겨서 해두는 편이 안전합니다.
💡 dailybetter 분석가 Note
이번 사건의 진짜 의미는 금액이 아니라 공격의 타깃이 ‘정보’에서 ‘돈’으로, 대형사에서 영세 금융사로 옮겨갔다는 점입니다. 줌펀드·페이허브처럼 규모가 작은 온투업·PG사는 전자금융거래법의 보안 규제를 전부 받지 않는 사각지대에 있었고, 해커는 정확히 그 틈을 노렸습니다.
금융감독원이 “전자금융거래법 미적용사까지 전 금융권 외부 접점을 전수 점검하겠다”며 IT 인력을 총동원하고, 보안 부실로 사고가 난 경우 매출액의 3%를 징벌적 과징금으로 물리는 법 개정을 추진하는 것도 이 때문입니다.
교훈은 단순합니다. “유명하고 큰 회사니까 안전하겠지”가 더는 통하지 않습니다. 돈을 맡기는 서비스일수록, 가입 시 쓰는 비밀번호를 다른 곳과 반드시 다르게 두는 습관이 가장 싸고 확실한 방어막입니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요