은행 해킹 무슨 일인가? 16개 금융사 10만 건 유출, 5대 은행장 국감 출석과 2차 피해 막는 법

2026년 은행 해킹 사태는 AI 자동화 도구를 이용한 것으로 의심되는 공격으로 신한·KB국민·하나은행 등 여러 금융회사의 고객 개인정보가 빠져나간 사건입니다. 금융당국은 10월 14일 침해사고가 확인된 금융회사가 16곳, 유출 정보가 약 10만 건이라고 밝혔습니다. 10월 19일 국회 정무위원회 금융감독원 국정감사에는 5대 은행장이 증인으로 출석해 해킹 책임을 두고 질의를 받았습니다. 지금까지 계좌 비밀번호나 카드번호 유출, 고객 돈이 빠져나간 피해는 확인되지 않았지만, 유출 정보를 악용한 2차 피해를 막는 것이 가장 중요한 과제입니다.

이 글은 2026년 10월 20일 현재 공개적으로 확인 가능한 자료를 기준으로 작성했습니다. 10월 19일 국정감사 질의·답변 내용을 추가했습니다.

[업데이트 2026년 10월 20일] 5대 은행장은 10월 19일 국회 정무위원회 국정감사에서 해킹 사태에 공식 사과했으며, 이상 징후를 알아차리기까지 신한은행은 15시간 26분, 하나은행은 41시간 44분이 걸린 사실이 드러났습니다.

10월 19일 국정감사에서는 무슨 일이 있었나요?

5대 은행장은 국정감사에서 해킹 사태에 대해 일제히 사과하고 보안 강화를 약속했지만, 늦은 대응과 보상 방식에 대한 질타를 받았습니다.

은행장들의 사과와 약속

이환주 KB국민은행장: “신뢰를 기본으로 해야 하는 금융기관에서 이번 사건이 발생한 것에 대해 고객과 국민 여러분께 진심으로 사과 말씀드린다”며 보안 예산과 인력을 확보하고 AI 기반 보안시스템을 강화하겠다고 밝혔습니다.
정상혁 신한은행장: “지적해주신 부분에 깊이 공감하며 매우 송구스럽게 생각한다”고 말했습니다.
이호성 하나은행장: 고객과 국민에게 사과하고, 2차 피해가 생기면 전액 배상하겠다고 밝혔습니다. 수수료 면제와 금융안심보험 가입 지원도 추진하겠다고 했습니다.
정진완 우리은행장: 정보 유출 피해는 없었지만 “이번엔 운이 좋았다”는 취지로 말했으며, 하루 200건 이상의 해킹 시도에 대응하고 있다고 설명했습니다.
강태영 NH농협은행장: 2022년 구축한 차세대 통합관제시스템을 올해와 내년에 고도화하겠다고 밝혔습니다.

(출처: 시사저널, 2026년 10월 19일)

국회가 지적한 문제

김재섭 국민의힘 의원은 신한은행 유출 고객 약 2만5천 명 가운데 자신의 정보 유출 여부를 조회한 고객이 약 5,680명, 22%에 그쳤다며 보상 대책의 실효성을 지적했습니다. 또 국민은행 보상 안내의 ‘입증된 피해’ 문구가 피해 입증 책임을 고객에게 떠넘긴다고 비판했습니다. 은행들이 이상 징후를 알아차리기까지 신한은행은 15시간 26분, 하나은행은 41시간 44분이 걸린 것으로 나타났습니다(한국아이닷컴, 2026년 10월 19일).

국정감사에서는 KB국민은행 유출 119명이 고객 99명과 임직원 20명으로 이뤄졌다는 점도 확인됐습니다. 유출 고객 대부분이 아직 자신의 정보 유출 여부를 확인하지 않았다는 점은 2차 피해 예방에서 가장 큰 과제로 꼽힙니다.

핵심 요약

금융당국은 2026년 10월 14일 은행·저축은행·캐피탈 등 16개 금융회사에서 침해사고가 확인됐고 유출 정보가 약 10만 건이라고 발표했습니다.
신한은행은 대출모집인 조회 서비스가 본인 인증을 우회한 공격을 받아 고객 약 2만5천 명의 이름, 전화번호, 연소득, 대출 한도 등이 유출됐습니다.
금융당국은 10월 한 달을 2차 피해 대응기간으로 정하고, 소비자들에게 안심차단서비스 가입과 ‘유출 확인·보상’ 사칭 연락 주의를 당부하고 있습니다.

은행 해킹, 무슨 일이 있었나요?

은행 해킹 사태는 해커가 은행의 핵심 전산망이 아닌 직원용·영업지원용 시스템의 약점을 찾아 반복적으로 침입하면서 고객 정보를 빼낸 사건입니다.

2026년 10월 1일 신한은행을 시작으로 KB국민은행, 하나은행, BNK부산은행에서 잇따라 정보 유출이 확인됐습니다. 우리은행과 NH농협은행도 비슷한 공격을 받았지만 정보 유출은 확인되지 않았습니다(아주경제, 2026년 10월 2일). 경찰청 사이버테러대응수사대는 10월 2일 신한·KB국민·하나·BNK부산은행 4곳의 유출 사건에 대해 내사에 착수했습니다(한국일보).

이후 금융당국이 전 업권을 점검한 결과, 침해사고가 확인된 금융회사는 16곳으로 늘었고 유출 정보는 약 10만 건으로 집계됐습니다. 당국은 공격자 IP를 바탕으로 확인 작업을 이어 가고 있어 피해 회사가 더 늘어날 수 있다고 밝혔습니다(SBS Biz, 2026년 10월 15일).

어떤 정보가 얼마나 빠져나갔나요?

현재까지 알려진 유출 정보는 이름, 연락처, 주소, 주민등록번호 등 개인정보이며, 계좌 비밀번호나 카드번호 유출은 확인되지 않았습니다.

금융회사	유출 규모	주요 유출 항목
신한은행	고객 약 2만5천 명	이름, 전화번호, 연소득, 대출 한도 등(주민등록번호 66건, 본인확인정보 CI 97건 포함)
예가람저축은행	고객 약 4만 명	이름, 생년월일, 전화번호
KB국민은행	고객 119명	이름, 전화번호, 주소, 암호화된 주민등록번호
하나은행	고객 89명	주민등록번호, 이름, 주소, 연락처, 직장명 등
BNK부산은행	외주 개발직원 11명	직원 개인정보
우리은행, NH농협은행	유출 확인 안 됨	공격 시도만 확인

위 표는 이슈온(2026년 10월 15일)이 정리한 금융당국 발표와 각 은행 확인 내용을 바탕으로 했습니다. 나머지 금융회사별 유출 규모는 아직 공개되지 않았습니다. 금융당국은 현재까지 계좌 비밀번호와 카드번호 유출, 부정 송금 사례는 확인되지 않았다고 밝혔습니다.

현재까지 어떤 일이 있었나요?

2026년 9월 30일: 신한은행이 외부인이 대출모집인 서비스의 본인 인증을 우회해 정보에 접근한 사실을 확인했습니다(시사저널).
2026년 10월 1~2일: 신한·KB국민·하나·BNK부산은행의 유출이 알려졌고, 금융위원회가 긴급 대응 회의를 열어 금융권 긴급 보안 점검에 착수했습니다. 경찰도 내사를 시작했습니다.
2026년 10월 6일: 금융당국이 10월 한 달을 ‘개인정보 유출 2차 피해 대응기간’으로 정하고, 금융감독원은 소비자경보 ‘주의’를 발령했습니다(아주경제, 2026년 10월 6일).
2026년 10월 14일: 금융당국이 침해사고 확인 금융회사 16곳, 유출 정보 약 10만 건이라는 점검 결과를 발표했습니다.
2026년 10월 19일: 국회 정무위원회 금융감독원 국정감사에 5대 은행장이 일반 증인으로 출석합니다. 5대 은행장이 함께 증인으로 나오는 것은 2022년 이후 4년 만입니다(보안뉴스).

정말 AI가 해킹했나요?

AI 자동화 도구가 쓰였을 가능성이 제기됐지만, 공식적으로 확인된 것은 아닙니다.

보안업계는 공격과 관련된 것으로 의심되는 서버에서 중국어로 된 ‘AI 자율 침투 테스트 도구’의 흔적을 발견했습니다. 이 도구는 인공지능을 이용해 시스템의 취약점을 자동으로 찾아내는 공개 프로그램입니다. 다만 시사저널은 서버에 흔적이 있다는 것만으로 이 도구가 실제 공격에 쓰였다고 단정할 수 없으며, 공식 확인도 되지 않았다고 전했습니다(시사저널, 2026년 10월 2일).

공격 방식도 주목받고 있습니다. 보안뉴스에 따르면 보안 전문가들은 신한은행 사고를 고도의 공격이 아닌 기본적인 약점에서 비롯된 것으로 봤습니다. 다른 사이트에서 유출된 아이디와 비밀번호로 대출모집인용 조회 서비스에 로그인한 뒤, 고객 번호를 바꿔 가며 정보를 반복 조회한 것으로 추정됩니다. 반복 로그인 차단이나 조회 권한 확인 같은 기본 장치가 부족했다는 지적입니다(보안뉴스, 2026년 10월 2일). 은행 해킹 사태는 첨단 기술보다 본인 인증 같은 기본 보안 관리의 빈틈이 더 큰 문제였다는 지적을 받고 있습니다.

오늘 국정감사의 핵심 쟁점은 무엇인가요?

오늘 국정감사의 핵심 쟁점은 유출 경위와 대응, 그리고 보안 투자와 경영진 책임입니다.

쟁점 1. 유출 경위와 사고 대응

국회는 각 은행이 언제 공격을 알아차렸는지, 고객에게 얼마나 빨리 알렸는지, 원인 규명이 어디까지 진행됐는지를 따질 것으로 보입니다.

쟁점 2. 보안 투자와 경영진 책임

이번 국감에는 보안 담당 임원인 정보보호최고책임자(CISO)가 아니라 은행장이 직접 증인으로 나옵니다. 보안뉴스는 보안 투자와 경영진의 관리 책임, 연말 임기 만료를 앞둔 은행장들의 연임 문제까지 질의 대상이 될 수 있다고 전했습니다.

은행권의 입장

신한은행은 사고 직후 공격에 쓰인 외부 IP를 차단하고 해당 서비스를 중단했으며, 전담 콜센터와 앱 내 유출 조회 메뉴를 마련하고 실제 금전 피해는 전액 보상하겠다고 밝혔습니다. 보안뉴스에 따르면 은행들은 시스템 전수 점검과 2차 피해 발생 시 신속한 보상 절차를 검토해 왔으며, 유출 원인 규명과 재발 방지 대책을 중심으로 답변을 준비한 것으로 알려졌습니다. 금융권 일각에서는 국감이 과도한 비난보다 금융권 보안 체계를 강화하는 논의의 장이 되기를 바란다는 의견도 나왔습니다.

확인된 사실과 아직 확인되지 않은 내용은 무엇인가요?

유출 규모와 항목은 상당 부분 확인됐지만, 공격 주체와 최종 피해 규모는 아직 조사 중입니다.

내용	현재 확인 상태	근거
16개 금융회사 침해사고, 약 10만 건 유출	확인됨(늘어날 수 있음)	2026년 10월 14일 금융당국 발표
계좌 비밀번호·카드번호 유출	확인되지 않음	금융당국 설명
고객 자금 유출 등 2차 피해	현재까지 확인되지 않음	금융당국 설명
AI 자동화 도구 사용	의심 단계	보안업계 분석, 공식 확인 없음
공격 주체(국적·조직)	확인되지 않음	경찰 내사 진행 중

내 정보는 어떻게 지켜야 하나요?

가장 중요한 것은 ‘정보 유출 확인’이나 ‘피해 보상’을 내세운 문자와 전화에 속지 않는 것입니다.

금융당국은 유출된 개인정보를 대출 상담이나 피해 보상 안내와 섞어 접근하는 스미싱·보이스피싱을 경계하라고 당부했습니다(세계일보, 2026년 10월 19일).

공식 경로로만 확인하기: 유출 여부는 거래 은행의 공식 홈페이지나 대표번호로 직접 확인합니다. 문자 속 링크는 누르지 않습니다.
돈·앱 요구는 무조건 거절하기: ‘보상’이나 ‘계좌 보호’를 이유로 송금, 대출 선입금, 앱 설치를 요구하면 사기입니다.
안심차단서비스 가입하기: 은행 창구나 앱에서 ‘금융거래 안심차단서비스’를 신청하면 내 명의로 몰래 대출을 받거나 비대면 계좌를 여는 것을 막을 수 있습니다.
개인정보노출자 등록하기: 금융감독원 ‘파인’ 누리집의 개인정보노출자 사고예방시스템에 등록하면 금융회사가 내 명의 거래를 더 꼼꼼히 확인합니다.
휴대전화에 중요 정보 저장하지 않기: 신분증 사진, 주민등록번호, 계좌 비밀번호를 휴대전화에 저장하지 않습니다.

은행은 문자나 전화로 비밀번호, 인증번호, 송금을 요구하지 않습니다.

앞으로 무엇을 확인해야 하나요?

현재 단계에서는 오늘 국정감사에서 나올 은행장들의 답변과 금융당국의 제도 개선안이 가장 중요한 확인 사항입니다.

5대 은행장의 사과 여부와 피해 보상·재발 방지 약속
금융당국 조사에 따른 추가 피해 회사와 최종 유출 규모
경찰 수사로 밝혀질 공격 주체와 AI 도구 사용 여부
2차 피해 대응기간 연장과 소비자경보 격상 여부
금융회사 보안 관리 책임을 강화하는 제도 개선 방안

자주 묻는 질문

내 정보가 유출됐는지 어떻게 알 수 있나요?

거래 은행의 공식 홈페이지, 앱, 대표번호로 확인할 수 있습니다. 금융당국은 금융회사에 유출 고객 전담 상담창구를 운영하도록 했고, 신한은행은 앱에 유출 조회 메뉴를 마련했습니다. 다만 문자에 포함된 링크로 확인하는 것은 피해야 합니다.

은행 계좌에서 돈이 빠져나갈 수 있나요?

2026년 10월 19일 현재 금융당국은 계좌 비밀번호와 카드번호 유출, 부정 송금 사례는 확인되지 않았다고 밝혔습니다. 다만 유출된 정보를 이용한 사기 연락으로 2차 피해가 생길 수 있어 주의가 필요합니다.

안심차단서비스는 어떻게 신청하나요?

거래 은행 창구나 은행 앱에서 신청할 수 있습니다. 가입하면 본인 모르게 신규 대출이나 비대면 계좌 개설이 이뤄지는 것을 막을 수 있습니다.

피해를 입으면 보상받을 수 있나요?

금융당국은 피해가 확인되면 금융회사가 신속하게 피해구제와 보상을 하도록 요구하고 있습니다. 다만 구체적인 보상 기준이나 금액은 아직 발표되지 않았습니다.

우리은행이나 농협은행 고객도 걱정해야 하나요?

두 은행은 공격을 받았지만 현재까지 정보 유출은 확인되지 않았습니다. 그래도 사칭 문자와 전화는 어느 은행 고객에게나 올 수 있으므로 같은 주의가 필요합니다.

핵심 용어 정리

침해사고

정의: 해킹 등 외부 공격으로 전산 시스템이 무단 접근되거나 정보가 유출·훼손된 사고를 말합니다.

쉽게 말하면: 해커에게 시스템이 뚫린 사고입니다.

스미싱

정의: 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 문자 속 링크나 전화번호로 유도해 개인정보나 돈을 빼앗는 사기 수법입니다.

쉽게 말하면: 가짜 문자로 속이는 사기입니다.

금융거래 안심차단서비스

정의: 본인이 신청하면 금융회사에서 신규 대출, 비대면 계좌 개설 등 지정한 거래를 미리 막아 두는 서비스입니다.

쉽게 말하면: 내 이름으로 몰래 대출받는 것을 막는 잠금장치입니다.

정보보호최고책임자(CISO)

정의: 회사의 정보보호와 보안 업무를 총괄하는 임원입니다.

쉽게 말하면: 회사 보안을 책임지는 최고 담당자입니다.