5대 시중은행 전부 뚫렸다? 신한·국민·하나은행 해킹 사태와 불안한 내 정보
5대 시중은행 전부 뚫렸다? 신한·국민·하나은행 해킹 사태와 불안한 내 정보
국내 5대 시중은행이 모두 해킹 공격을 받았고, 신한은행에서만 2만5천 명의 고객 정보가 빠져나갔습니다. 이름과 전화번호는 물론 주민등록번호, 연소득, 대출한도까지 털렸다는 소식을 접하고 저도 처음엔 귀를 의심했습니다. 내 계좌를 관리하는 은행의 보안이 이렇게 뚫릴 수 있다는 게 실감이 나지 않았거든요.
정보유출, 내가 피해자인지 먼저 확인해야 합니다
솔직히 이번 뉴스를 보고 제일 먼저 든 생각은 "나도 털린 거 아닐까"였습니다. 평소에 신한은행, 국민은행, 하나은행 앱을 모두 쓰고 있으니까요. 그런데 막상 피해 여부를 확인하려고 하니 어디서 어떻게 시작해야 할지 몰라 당황스러웠습니다.
이번에 유출된 정보의 범위를 먼저 파악하는 게 중요합니다. 신한은행에서는 이름·전화번호·연소득·대출한도는 물론 일부 고객의 주민등록번호까지 유출됐고, KB국민은행과 하나은행에서는 이름·주소·전화번호·주민등록번호가 포함됐습니다. 피해 규모는 신한 2만5천 명, 국민 119명, 하나 89명으로 집계됐습니다.
개인정보 침해 사고가 발생하면 가장 먼저 해야 할 일은 해당 은행에 직접 연락해 본인의 정보가 유출 대상에 포함됐는지 확인하는 것입니다. 한국인터넷진흥원(KISA)이 운영하는 개인정보 침해신고센터(출처: KISA 개인정보침해신고센터)에도 신고와 상담이 가능합니다. 유출 사실이 확인됐다면, 명의도용(identity theft)을 막기 위해 신용정보 조회 서비스에서 신규 대출·카드 발급을 일시적으로 차단하는 것을 권장합니다. 명의도용이란 타인이 내 개인정보를 이용해 금융 거래나 계약을 체결하는 범죄를 뜻합니다.
제가 직접 확인해보니 각 은행 앱 고객센터 채널을 통해 "개인정보 유출 여부 조회"를 요청하는 방법이 가장 빨랐습니다. 전화 연결은 워낙 폭주해서 30분 이상 대기하는 경우도 있으니 앱 채팅 상담을 먼저 시도해 보시길 권합니다.
피해확인 이후 반드시 해야 할 사후 조치
유출 여부가 확인됐든 아니든, 이번 사고처럼 주민등록번호와 금융 정보가 함께 새어나간 경우라면 추가 피해를 막는 조치를 미리 해두는 게 훨씬 낫습니다. 제 경험상 "나는 해당 없겠지"라며 넘어갔다가 한참 뒤에 스팸 문자나 보이스피싱 전화로 돌아오는 경우가 적지 않았거든요.
사후 조치는 아래 순서대로 진행하시면 됩니다.
- 해당 은행에 개인정보 유출 여부 공식 문의 및 피해 접수
- 나이스신용평가 또는 올크레딧에서 신용정보 무단 조회 내역 확인
- 본인확인서비스 차단 — 통신사 홈페이지에서 명의 도용 방지 서비스 신청
- 주요 금융 앱 비밀번호 및 공인인증서(공동인증서) 즉시 재발급
- 보이스피싱·스미싱 관련 금융감독원 신고센터(1332) 번호 저장
스미싱(Smishing)이란 문자메시지(SMS)와 피싱(Phishing)을 합친 말로, 악성 링크가 포함된 문자를 보내 개인정보나 금융 정보를 탈취하는 수법입니다. 이번처럼 전화번호가 유출된 상황에서는 이런 문자가 대거 발송될 가능성이 높습니다. 출처가 불분명한 링크는 절대 클릭하지 않는 것이 기본 중의 기본입니다.
공동인증서 역시 재발급만 해두는 게 아니라 기존 인증서를 폐기하는 절차까지 밟아야 합니다. 저도 이 부분을 놓쳐서 한동안 두 개의 인증서가 병존하는 상황이 됐었는데, 보안 측면에서 이건 절대 좋지 않습니다.
보안대책, 은행과 금융당국은 무엇을 해야 하는가
이번 사고에서 제가 가장 불쾌하게 느낀 부분은 피해 규모보다 공격 경로였습니다. 해킹이 고객 금융거래 시스템이 아닌 별도 업무 시스템을 겨냥한 것으로 파악됐다고 하는데, 다시 말하면 은행 내부 직원들이 쓰는 시스템이 뚫렸다는 뜻입니다. 정작 돈이 오가는 시스템보다 보안이 헐거웠다는 게 이해가 되지 않았습니다.
공격 과정에서는 중국어 기반 AI 해킹 도구가 활용됐을 가능성도 제기됐습니다. 공격 주체가 정확히 누구인지는 아직 확인되지 않았지만, 이미 사이버 공격에 생성형 AI가 활용되고 있다는 건 업계에서는 공공연한 사실입니다. APT 공격(Advanced Persistent Threat)이란 특정 조직을 오랜 기간에 걸쳐 집요하게 침투하는 지능형 지속 위협을 뜻합니다. 이런 수법은 기존 방화벽만으로는 차단이 사실상 불가능합니다.
금융위원회와 금융감독원은 사고 직후 긴급회의를 열고 전 금융권 보안점검을 지시했습니다. 그런데 솔직히, 이런 사후 대응 방식은 이번이 처음이 아닙니다. 제로 트러스트(Zero Trust) 보안 모델이란 내부 네트워크라도 모든 접근을 의심하고 매번 인증을 요구하는 방식으로, 한 번 침투에 내부 전체가 뚫리는 구조적 취약점을 막는 데 효과적입니다. 금융감독원도 최근 금융권 사이버 보안 강화 방안을 발표하면서 이 개념을 도입하도록 권고했지만, 현장 적용 속도는 여전히 더딥니다.
망 분리(Network Segregation)란 내부 업무망과 인터넷망을 물리적 또는 논리적으로 분리해 외부 침입이 내부까지 도달하지 못하도록 차단하는 기술입니다. 이번 사고가 업무 시스템을 통해 발생한 만큼, 망 분리 정책이 실제로 얼마나 엄격하게 운용되고 있었는지 철저한 감사가 필요해 보입니다.
자주 묻는 질문
Q. 내 은행 정보가 유출됐는지 어디서 확인할 수 있나요?
A. 우선 해당 은행 고객센터나 앱 채팅 상담으로 본인의 정보 유출 포함 여부를 직접 문의하는 것이 가장 빠릅니다. 아울러 한국인터넷진흥원(KISA) 개인정보 침해신고센터(privacy.kisa.or.kr)에서도 상담과 신고가 가능합니다. 유출이 확인되면 신용정보 조회 차단 서비스를 먼저 신청하세요.
Q. 주민등록번호까지 유출됐다면 어떻게 해야 하나요?
A. 주민등록번호는 변경이 사실상 불가능하기 때문에 2차 피해 차단이 핵심입니다. 통신사 명의 도용 방지 서비스를 신청하고, 주요 금융사 비밀번호와 공동인증서를 재발급하세요. 이후 나이스신용평가나 올크레딧에서 신규 신용 조회 내역을 주기적으로 모니터링하는 것도 중요합니다.
Q. 우리은행이나 NH농협도 조심해야 하나요?
A. 우리은행과 NH농협은행도 이번에 공격 대상이 됐지만 현재까지 정보 유출은 확인되지 않았습니다. 다만 "확인되지 않았다"는 것이 "없다"는 의미는 아닌 만큼, 두 은행 이용자도 비밀번호 변경 등 기본 조치는 해두는 것이 좋습니다. 추가 유출 여부는 금융당국 발표를 주시하시길 권합니다.
Q. 은행에 손해배상을 청구할 수 있나요?
A. 개인정보 유출로 실제 피해가 발생한 경우, 개인정보보호법에 따라 해당 기업에 손해배상을 청구할 수 있습니다. 다만 피해 사실과 인과관계를 입증하는 과정이 복잡할 수 있으므로, 개인정보 침해신고센터 또는 소비자보호원에 먼저 상담을 받아보시길 권합니다. 이 글은 법률 조언이 아닌 개인적인 의견 공유임을 참고해 주세요.
Q. AI 해킹 도구가 쓰였다는 건 무슨 의미인가요?
A. 생성형 AI를 활용한 해킹 도구는 공격 코드 작성이나 취약점 탐색을 자동화할 수 있어 기존보다 훨씬 빠르고 정교한 공격이 가능합니다. 이번 신한은행 공격에 중국어 기반 AI 도구가 쓰였을 가능성이 제기됐지만, 실제 사용 여부와 공격 주체는 아직 공식 확인되지 않은 상태입니다. 수사 결과를 지켜볼 필요가 있습니다.
이번 사고를 보면서 제가 내린 결론은 하나입니다. 은행이 지켜주길 기다리기보다 내가 먼저 움직여야 한다는 것입니다. 피해 여부 확인, 비밀번호 변경, 명의 도용 차단 서비스 신청까지 지금 당장 30분만 투자하면 적어도 2차 피해는 상당 부분 막을 수 있습니다. 금융당국의 후속 조치와 은행의 재발 방지책도 계속 지켜봐야겠지만, 내 정보는 내가 지킨다는 마음가짐이 요즘 세상에서는 가장 현실적인 보안입니다. 이 글은 개인적인 경험과 의견을 공유한 것이며, 전문적인 법률 또는 금융 조언이 아닙니다.
--- 참고: https://www.instagram.com/p/Dd_ydBWTUaO/?stkn=MXdpb3FqMmdqNzNpaw%3D%3D
