금융사 7곳 AI 해킹 — 내 정보는 안전한가, 지금 할 일 5가지

10월 4일, 금융당국이 금융사 7곳이 해킹당했다고 밝혔습니다. 당국은 공격자가 AI 도구로 여러 회사를 동시에 자동 공격했을 가능성을 보고 있습니다. 확인된 사실과 추정을 나눠서 정리하고, 지금 당장 뭘 해야 하는지까지 적었습니다.

3초 요약
· 피해 7곳 — 신한·KB국민·하나·BNK부산, 예가람·웰컴, 현대캐피탈
· 여러 회사에서 동일 공격자 IP 확인. 8개국 IP를 바꿔가며 접근
· 인터넷·모바일뱅킹 같은 핵심 서비스는 영향 없음
· 현재까지 금전 피해는 확인되지 않음
· "AI 활용"은 당국의 추정이지 확정된 사실이 아님

1. 어디가, 얼마나

구분	기관
은행	신한, KB국민, 하나, BNK부산
저축은행	예가람, 웰컴
기타	현대캐피탈

과장하지 않기 위해 — 확인된 범위
신한은행의 경우 직원과 대출모집인이 쓰는 부가 시스템을 통해 정보가 나갔습니다. 인터넷뱅킹·모바일뱅킹 같은 핵심 고객 서비스는 영향을 받지 않았고, 현재까지 금전 피해는 확인되지 않았습니다.

나머지 기관의 유출 건수·유출 정보의 범위·전체 피해액은 공개되지 않았습니다. "몇 명이 털렸다"는 숫자가 도는 글이 있다면 출처를 확인하세요.

2. 어떻게 뚫렸나 — 세 가지 경로

당국이 밝힌 공격 유형은 세 가지입니다. 기술적인 내용이지만, 왜 이런 일이 가능했는지 이해하는 데 도움이 됩니다.

경로	무엇이 문제였나
정보조회 서비스	본인 인증 절차가 빠져 있어, 대출 신청 내역 등을 별도 확인 없이 조회할 수 있었음
직원용 업무지원 서비스	모바일 단말기 통제가 미흡했고, 권한 없는 이용자도 접근 가능한 웹 취약점이 방치돼 있었음
홈페이지	이미 알려진 보안 취약점을 이용해 악성코드를 심고, 고객정보가 담긴 로그파일을 빼냄

세 가지 모두 새로운 수법이 아닙니다. 인증 누락, 방치된 취약점, 권한 관리 미흡 — 보안 업계에서 오래 지적돼 온 기본기 문제입니다.

3. "AI 해킹"이라는 말은 어디까지 사실인가

헤드라인에 'AI 해킹'이 붙었지만, 정확히 뭐가 확인됐고 뭐가 추정인지 구분할 필요가 있습니다.

구분	내용
확인됨	여러 회사에서 동일한 공격자 IP가 확인됨
확인됨	공격자가 IP를 계속 바꿔가며 접근. 한국·미국·일본·홍콩·싱가포르·베트남·태국·영국 등
추정	공격 규모와 방식을 근거로, 공격자가 AI 도구로 다수 금융사를 자동 공격했을 가능성
추정	같은 공격자의 소행이라는 판단도 "가능성이 제기된" 단계

왜 AI를 의심할까
사람이 손으로 여러 금융사를 동시에 훑으려면 시간이 많이 듭니다. 그런데 취약점 탐색과 공격 시도를 자동화하면 같은 시간에 훨씬 많은 대상을 건드릴 수 있습니다. 당국이 주목한 건 수법의 정교함이 아니라 동시다발적 규모인 것으로 보입니다.

다만 앞서 봤듯 뚫린 경로 자체는 전통적인 취약점이었습니다. "AI가 새로운 해킹 기법을 만들어냈다"기보다 "기존 기법을 빠르게 대량으로 시도했다"에 가깝다고 읽는 편이 현재 공개된 정보에 맞습니다.

4. 당국은 뭘 하고 있나

금융감독원이 약 500개 금융사에 공격 IP 정보와 보안 유의사항을 전달하고 긴급 점검을 지시했습니다.

업권	점검 완료 기한
은행 · 카드사	10월 6일까지
증권 · 보험 · 저축은행 · 전자금융업자	10월 8일까지

점검 항목은 12개로, 공격 IP 차단과 피해 여부, 외부에 노출된 IT 자산, 보안조치 여부 등이 포함됩니다. 본인 인증이 빠진 서비스는 전수 조사해 문제가 있으면 즉시 고치거나 차단하도록 했고, 알려진 취약점은 즉시 보완하게 했습니다.

피해 금융사는 현장점검과 검사를 받고, 발견된 취약점과 개선 사례는 전 금융권에 공유될 예정입니다. 긴급상황 대응회의는 세 차례 열렸습니다.

5. 그래서 나는 뭘 해야 하나

유출 범위가 공개되지 않았으므로 해당 금융사를 쓴다면 일단 점검하는 쪽이 합리적입니다. 비용이 들지 않는 것부터 적었습니다.

오늘 할 수 있는 것
1. 계좌·카드 거래내역 확인
최근 몇 달치를 훑어보세요. 소액 결제가 먼저 들어오는 경우가 많습니다.

2. 비밀번호가 겹치는 곳부터 변경
금융사 비밀번호를 다른 사이트와 같이 쓰고 있다면 그쪽이 더 위험합니다.

3. 금융감독원 '개인정보 노출자 사고예방 시스템' 등록
등록하면 신규 계좌 개설·카드 발급 때 본인 확인이 강화됩니다. 무료입니다.

4. 명의도용 방지 서비스 확인
통신사·신용평가사에서 제공하는 가입 현황 조회로 모르는 명의 사용이 있는지 봅니다.

5. 의심 문자·전화 경계
유출 사고 후에는 "보안 점검이 필요하다"며 접근하는 2차 피싱이 늘어납니다. 금융사는 전화로 비밀번호·OTP를 묻지 않습니다.

특히 조심할 것 — 2차 피싱
이번처럼 언론에 크게 보도된 사고 직후에는 사고를 빌미로 한 사기가 반드시 따라옵니다.
· "고객님 정보가 유출됐으니 확인하라"며 보내는 링크 → 누르지 마세요
· "안전계좌로 옮기라"는 요구 → 그런 제도는 없습니다
· 앱 설치를 유도하는 전화 → 원격제어 악성앱일 수 있습니다

확인이 필요하면 받은 연락처가 아니라 공식 앱이나 대표번호로 직접 거세요.

자주 묻는 질문

Q. 제 정보도 유출됐나요?
현재 공개된 자료로는 알 수 없습니다. 기관별 유출 건수와 정보 범위가 공개되지 않았습니다. 개별 통지는 해당 금융사가 하게 되므로, 통지를 기다리되 위의 점검은 미리 해두는 편이 낫습니다.

Q. 돈이 빠져나갈 수 있나요?
당국 발표 기준 현재까지 금전 피해는 확인되지 않았고, 인터넷·모바일뱅킹은 영향을 받지 않았습니다. 다만 유출된 개인정보가 다른 곳에서의 사칭·피싱에 쓰일 수 있다는 점이 더 현실적인 위험입니다.

Q. 계좌를 해지해야 하나요?
현재 정보로는 과한 대응입니다. 거래내역 확인과 노출자 등록 정도가 비용 대비 효과가 큽니다.

Q. AI가 해킹했다는데 앞으로 더 심해지나요?
공격 자동화가 쉬워지는 흐름은 맞습니다. 다만 이번 사고에서 뚫린 건 인증 누락·방치된 취약점 같은 기본기였습니다. 방어 쪽도 기본기를 지키는 것이 여전히 가장 효과적이라는 뜻이기도 합니다.

함께 읽기

• 2026년 10월 첫째 주 AI 뉴스 총정리 — 한국인에게 중요한 5가지
• 정부 4.7조 국산 프론티어 AI — 무엇을 만들겠다는 것인가
• 로컬 AI vs 클라우드 AI — 데이터가 내 기기를 떠나는가

작성 기준
2026년 10월 8일 기준이며, 10월 4일 금융당국 설명을 보도한 기사를 근거로 작성했습니다. 확인된 사실과 당국의 추정을 본문에서 구분해 표기했습니다. 개별 기관의 유출 규모는 공개되지 않아 다루지 않았습니다. 이 글은 일반적인 정보 정리이며 특정 금융기관에 대한 평가가 아닙니다. 본인의 피해 여부는 해당 금융사 공식 안내를 확인하시기 바랍니다.

주요 출처 · 글로벌이코노믹(2026-10-04, 금융당국 설명 보도) · 한국일보 · 보안뉴스 · 금융감독원 긴급 점검 지시 내용