은행 해킹 개인정보 유출 피해 금융사와 대처법 정리

이번 은행 해킹 개인정보 유출 사고는 2026년 10월 1일부터 3일 사이 신한·KB국민·하나·BNK부산은행과 예가람저축은행, 현대캐피탈에서 잇따라 확인된 금융권 연쇄 정보 유출 사건입니다.

국내 5대 시중은행이 모두 해킹 추정 공격을 받았고, 이 중 신한·KB국민·하나은행에서 고객 정보가 실제로 빠져나갔습니다. 피해는 저축은행과 캐피탈사 등 제2금융권으로 번졌습니다. 은행 직원용·영업 지원용 시스템을 반복적으로 공략하는 방식이어서 인공지능(AI)을 활용한 자동화 해킹 가능성이 제기되고 있습니다. 금융당국은 10월 4일 전 금융업권을 긴급 소집해 대응에 나섰습니다.

이 글은 2026년 10월 4일 현재 공개적으로 확인 가능한 언론 보도와 금융회사 발표를 기준으로 작성했습니다.

핵심 요약

신한은행 약 2만 5,000명, KB국민은행 119명, 하나은행 89명, 예가람저축은행 약 4만 명(추정)의 고객 정보가 유출됐고, 현대캐피탈에서는 주택대출 모집인 146명의 정보가 빠져나갔습니다.
일부 유출 정보에는 주민등록번호가 포함됐지만, 은행들은 인터넷·모바일뱅킹 등 고객 금융거래 시스템과는 무관한 시스템이 공격받았다고 설명했습니다.
공격 주체가 같은 세력인지는 아직 확인되지 않았으며, 고객은 금융사 사칭 연락에 주의하고 명의도용 차단 서비스를 활용하는 것이 좋습니다.

은행 해킹 개인정보 유출 사고는 무슨 일인가요?

이번 사고는 여러 금융회사가 며칠 사이에 연달아 해킹 공격을 받아 고객과 관계자의 개인정보가 외부로 유출된 사건입니다.

SBS Biz 보도에 따르면 국내 5대 은행이 모두 해킹 추정 공격을 받았습니다. 우리은행과 NH농협은행도 공격 대상이 됐지만 개인정보 유출은 확인되지 않았다고 밝혔습니다. 기존처럼 주 전산망을 직접 노리기보다, 직원이나 영업 지원용 시스템의 취약점을 찾아 반복적으로 침투하는 방식이 쓰인 것으로 알려졌습니다.

이번 사고의 특징은 은행의 핵심 거래 시스템이 아니라 대출 조회 페이지나 직원용 업무 시스템처럼 외부와 연결된 주변 시스템이 집중적으로 공격받았다는 점입니다.

사건은 어떻게 시작됐나요?

사건은 10월 1일 신한은행의 대규모 고객 정보 유출이 알려지면서 시작됐습니다.

신한은행에서는 대출 모집인이 자신이 접수한 대출 처리 현황을 조회하는 모바일 경로로, 외부 비인가자가 정상적인 본인 확인 없이 접근한 것으로 은행 측은 설명했습니다. 이후 다른 은행들이 유사한 침해 시도가 있었는지 점검하는 과정에서 추가 피해가 잇따라 확인됐습니다. 사이버 보안 업체 지니언스는 신한은행 공격에 쓰인 것으로 추정되는 웹서버 일부 페이지에서 ‘AI 자율 침투’를 뜻하는 중국어 문구를 확인했다고 밝혔습니다(SBS Biz).

현재까지 어떤 일이 있었나요?

2026년 9월 30일: 예가람저축은행이 고객 개인정보가 담긴 서버에 신원 미상 해커가 접근한 정황을 확인했습니다.
2026년 10월 1일: 신한은행에서 고객 약 2만 5,000명의 정보 유출이 확인됐습니다.
2026년 10월 2일: KB국민은행(119명)과 하나은행(89명)의 고객 정보 유출, BNK부산은행 외주 직원 정보 노출이 연이어 확인됐습니다. 같은 날 금융위원회는 금융감독원·금융보안원·은행·카드사 등과 긴급 상황대응회의를 열었고, 경찰은 은행권 해킹에 대한 내사에 착수했습니다.
2026년 10월 2일: 예가람저축은행이 홈페이지에 개인정보 유출 사실 통지와 사과문을 게시했습니다.
2026년 10월 3일: 현대캐피탈이 주택대출 모집인 146명의 개인정보 유출 사실을 발표하고 금융감독원과 한국인터넷진흥원(KISA)에 신고했습니다.
2026년 10월 4일: 금융위원회가 당초 7일로 잡았던 점검 일정을 앞당겨, 이억원 금융위원장 주재로 전 금융업권 협회장과 사고 금융사 대표를 소집한 긴급 점검회의를 열기로 했습니다.

어느 금융회사에서 어떤 정보가 유출됐나요?

유출 규모는 예가람저축은행(약 4만 명 추정)과 신한은행(약 2만 5,000명)이 가장 크고, 유출 항목은 금융회사마다 다릅니다.

금융회사	피해 규모	유출 정보(발표 기준)	공격받은 곳
신한은행	고객 약 2만 5,000명	고객명, 전화번호, 연 소득, 대출 한도 등(주민등록번호 66건, 연계정보 97건 포함)	대출 모집인용 대출 현황 조회 경로
KB국민은행	고객 119명	고객명, 전화번호, 주소, 암호화된 주민등록번호 등	직원용 모바일 업무 지원 시스템(추정)
하나은행	고객 89명	주민등록번호, 성명, 주소, 이메일, 전화번호, 직장명 등	영업지원시스템(ODS)
BNK부산은행	외주 개발직원 11명	신상 정보(웹페이지 노출)	웹페이지(차단 조치)
예가람저축은행	고객 약 4만 명(추정)	성명, 생년월일, 연락처 등	고객 개인정보 저장 서버
현대캐피탈	주택대출 모집인 146명	이름, 휴대전화번호, 이메일, 주민등록번호, 내부 모집인번호 등	주택대출 모집인 조회 페이지

은행별 규모와 항목은 알파경제와 브릿지경제 보도를 기준으로 정리했습니다. 예가람저축은행은 이투데이, 현대캐피탈은 머니투데이 보도를 참고했습니다. 예가람저축은행은 정확한 피해 규모를 아직 확인하고 있습니다.

핵심 쟁점은 무엇인가요?

이번 사고의 핵심 쟁점은 AI 활용 여부, 동일 세력 여부, 금융회사의 보안 관리 책임 세 가지입니다.

쟁점 1. 정말 AI를 활용한 해킹인가

AI 활용은 정황과 가능성이 제기된 단계이며, 공식 조사 결과로 확정된 사실은 아닙니다.

현대캐피탈은 보안 점검 과정에서 AI를 활용한 정보조회 공격으로 정보가 유출된 사실을 확인했다고 밝혔습니다. 하나은행 사고에 대해서는 외부 해킹 에이전트가 영업지원시스템에 비정상적으로 접근했다는 보도가 나왔습니다(브릿지경제). 다만 공격 도구와 수법에 대한 최종 판단은 금융당국과 수사기관의 조사 결과를 기다려야 합니다.

쟁점 2. 모두 같은 세력의 공격인가

여러 금융회사의 유출이 동일한 공격자에 의한 것인지는 아직 확인되지 않았습니다.

한 금융당국 관계자는 같은 세력의 공격인지, 아니면 자체 점검 과정에서 다른 세력의 공격이 우연히 함께 드러난 것인지 확인하는 데 시간이 더 필요하다고 밝혔습니다(파이낸셜뉴스).

쟁점 3. 금융회사의 보안 책임

외부에 공개된 조회 페이지와 업무 지원 시스템의 인증 절차가 충분했는지가 책임 판단의 핵심이 될 전망입니다.

금융당국은 외부에서 접근할 수 있는 전산시스템의 취약점과 인증 절차를 집중 점검하겠다는 방침입니다(마이데일리). 헤럴드경제는 금융회사별 보안의무 이행 여부도 함께 조사하는 만큼 결과에 따라 제재 여부가 결정될 것이라고 전했습니다. 연휴 직후 국정감사에서도 책임 공방이 이어질 가능성이 큽니다.

금융회사와 금융당국은 어떤 입장인가요?

금융회사들은 고객 금융거래 시스템은 안전하다고 설명했고, 금융당국은 사안을 엄중하게 보고 전 업권 점검에 나섰습니다.

금융회사의 설명

하나은행은 공격받은 영업지원시스템이 인터넷·모바일뱅킹 거래 시스템과 별개여서 금융거래 정보는 빠져나가지 않았다고 밝혔습니다. KB국민은행도 직원용 모바일 업무 지원 시스템이 공격받은 것으로 추정되며 고객 금융거래와는 무관하다고 설명했습니다(SBS Biz). 신한·KB국민·하나은행은 이번 사고로 실제 고객 피해가 생기면 관련 절차에 따라 보상하겠다는 방침입니다. 현대캐피탈은 일반 고객의 개인정보 유출이나 내부 시스템 접근은 없었다고 밝혔습니다.

금융당국의 입장

금융당국 관계자는 민감 정보가 포함된 고객 정보 유출을 엄중하게 보고 조사 중이라고 밝혔습니다. 정보 유출 규모가 더 커질 가능성도 열어두고 있다고 했습니다. 금융위원회 신진창 사무처장은 10월 2일 회의에서 침해사고의 원인과 공격 수법을 철저히 분석해 제도개선 방안을 신속히 마련하겠다고 밝혔습니다(시대).

확인된 사실과 아직 확인되지 않은 내용

금융회사별 유출 사실과 규모는 각사 발표로 확인됐지만, 공격 주체와 최종 피해 규모는 아직 조사 중입니다.

내용	현재 확인 상태	근거
신한·KB국민·하나은행 고객 정보 유출	확인됨	각 은행 발표
우리·NH농협은행 공격 시도	확인됨(유출은 확인되지 않음)	각 은행 발표
예가람저축은행 약 4만 명 유출	추정치	은행 사과문, 정확한 규모 확인 중
AI 활용 해킹	정황·가능성 제기	금융사 설명과 보안업체 분석, 공식 조사 결과 없음
동일 세력에 의한 공격	확인되지 않음	금융당국 “확인에 시간 필요”
유출 정보로 인한 실제 금전 피해	확인되지 않음	작성 시점 공개 자료에서 보고된 사례 없음

현재까지 유출된 정보는 주로 이름·연락처·주민등록번호 같은 신상 정보이며, 은행들은 계좌 비밀번호 등 금융거래 정보 유출은 없었다고 밝혔습니다.

내 정보가 유출됐다면 어떻게 대처해야 하나요?

가장 먼저 해당 금융회사의 공지와 개별 안내를 확인하고, 명의도용을 막는 차단 서비스를 신청하는 것이 좋습니다.

현대캐피탈은 피해 모집인에게 개별 안내를 하겠다고 밝혔고, 예가람저축은행은 별도 고객센터를 운영하며 피해 고객에게 안내 문자를 보낼 예정입니다. 거래 중인 금융회사의 공식 홈페이지와 앱 공지를 먼저 확인하세요. 아래는 하나은행 개인정보 유출 대응 안내 등 금융회사가 안내하는 예방 서비스입니다.

개인정보노출자 사고예방시스템: 금융감독원 개인정보노출자 사고예방시스템에 등록하면 내 명의로 계좌 개설이나 대출을 시도할 때 금융회사가 본인 확인을 강화합니다.
내 명의 계좌 확인: 금융결제원 계좌정보통합관리서비스의 ‘내계좌한눈에’에서 내 명의로 개설된 예금·대출 계좌를 확인할 수 있습니다.
휴대전화 명의도용 차단: 명의도용방지서비스(엠세이퍼)에서 내 명의로 개통된 휴대전화를 조회하고 신규 가입을 제한할 수 있습니다.
여신거래·비대면 계좌개설 안심차단: 신규 대출, 카드 발급, 비대면 계좌 개설을 미리 막는 제도로 거래 은행에서 신청할 수 있습니다.
의심 연락 신고: 금전 피해가 의심되면 경찰청 112나 금융감독원 1332로 즉시 신고하세요.

유출 사고 이후에는 “정보 유출 확인을 도와주겠다”며 금융회사를 사칭하는 문자나 전화가 늘어날 수 있으므로, 링크를 누르거나 비밀번호를 알려주지 말고 공식 고객센터로 직접 확인해야 합니다.

이 사건이 중요한 이유는 무엇인가요?

이번 사건은 AI가 해킹에 쓰일 수 있다는 우려가 금융권 실제 피해로 이어진 사례라는 점에서 중요합니다.

은행의 핵심 전산망이 안전하더라도, 외부에 열려 있는 조회 페이지나 직원용 업무 시스템이 새로운 공격 통로가 될 수 있다는 점이 드러났습니다. 시중은행에서 지방은행, 저축은행, 캐피탈사로 피해가 짧은 기간에 번진 만큼 금융권 전반의 보안 기준을 다시 점검해야 한다는 목소리가 커지고 있습니다. 소비자 입장에서는 주민등록번호와 연락처가 함께 유출된 경우 보이스피싱이나 명의도용 같은 2차 피해에 대비할 필요가 있습니다.

앞으로 무엇을 확인해야 하나요?

현재 단계에서는 10월 4일 긴급 점검회의 결과와 금융당국의 공식 조사 결과가 가장 중요한 확인 사항입니다.

금융위원회 긴급 점검회의 이후 발표될 대응 방안
공격 수법과 동일 세력 여부에 대한 금융당국·경찰 조사 결과
예가람저축은행 등 최종 피해 규모 확정 여부
보험·금융투자·가상자산 등 다른 업권의 추가 피해 여부
피해 고객 보상 기준과 금융회사 제재 여부
연휴 직후 국정감사에서의 책임 논의

자주 묻는 질문

내 정보가 유출됐는지 어떻게 알 수 있나요?

해당 금융회사의 공지와 개별 안내 문자·연락을 확인하는 것이 가장 정확합니다. 안내를 받지 못했더라도 불안하다면 공식 고객센터에 직접 문의하고, 문자 속 링크로는 조회하지 않는 것이 안전합니다.

인터넷뱅킹 비밀번호나 계좌 정보도 유출됐나요?

은행들은 이번에 공격받은 시스템이 인터넷·모바일뱅킹 거래 시스템과 별개라며 금융거래 정보 유출은 없다고 밝혔습니다. 다만 조사가 진행 중이므로 비밀번호를 주기적으로 바꾸는 등 기본적인 보안 관리는 계속하는 것이 좋습니다.

우리은행이나 NH농협은행 고객도 걱정해야 하나요?

두 은행도 해킹 추정 공격을 받았지만 현재까지 개인정보 유출은 확인되지 않았다고 밝혔습니다. 금융당국이 추가 점검을 진행 중이므로 향후 공지를 확인하는 것이 좋습니다.

피해가 생기면 보상을 받을 수 있나요?

신한·KB국민·하나은행은 이번 사고로 실제 고객 피해가 발생하면 관련 절차에 따라 보상하겠다는 방침을 밝혔습니다. 구체적인 보상 기준은 아직 발표되지 않았습니다.

왜 ‘AI 해킹’이라고 부르나요?

공격이 시스템 취약점을 자동으로 찾아 반복 침투하는 방식이었고, 일부 금융사와 보안업체가 AI 활용 정황을 밝혔기 때문입니다. 다만 공식 조사로 확정된 결론은 아닙니다.

주민등록번호가 유출되면 무엇을 해야 하나요?

개인정보노출자 사고예방시스템 등록과 엠세이퍼 가입제한 신청으로 명의도용을 막는 것이 우선입니다. 내 명의 계좌와 휴대전화 개통 내역도 확인해 보세요.

핵심 용어 정리

연계정보(CI)

정의: 본인확인기관이 주민등록번호를 바탕으로 만든 개인 식별값으로, 여러 온라인 서비스에서 동일인을 확인하는 데 쓰입니다.

쉽게 말하면: 주민등록번호 대신 쓰는 온라인용 ‘나를 알아보는 번호’입니다.

영업지원시스템(ODS)

정의: 은행 직원이 영업 활동에 필요한 고객 정보 등을 조회하고 업무를 처리하는 내부 지원 시스템입니다.

쉽게 말하면: 고객이 쓰는 뱅킹 앱이 아니라 은행 직원들이 업무용으로 쓰는 시스템입니다.

개인정보노출자 사고예방시스템

정의: 금융감독원이 운영하는 제도로, 개인정보 노출 사실을 등록하면 모든 금융회사에 실시간 전파돼 명의도용 거래 시 본인 확인이 강화됩니다.

쉽게 말하면: “제 정보가 새어 나갔으니 제 이름으로 하는 거래는 더 꼼꼼히 확인해 주세요”라고 금융권 전체에 알리는 제도입니다.

명의도용방지서비스(엠세이퍼)

정의: 한국정보통신진흥협회가 운영하는 서비스로, 내 명의의 통신 가입 현황을 조회하고 신규 가입을 제한할 수 있습니다.

쉽게 말하면: 누군가 내 이름으로 몰래 휴대폰을 개통하지 못하게 잠그는 서비스입니다.