금융권 AI 해킹, 7개 금융사 유출 항목 확인·피해 예방 정리 (비밀번호·OTP 미유출)

AI 도구로 뚫린 은행·저축은행·캐피탈, 빠져나간 정보와 대응

9월 말부터 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈로 이어진 금융권 AI 해킹의 유출 항목과 수사·금융당국 대응, 2차 피해 예방 방법을 금융사 공지와 금융위원회 자료로 정리했습니다.

비밀번호와 OTP 정보는 유출되지 않았고, 10월 6일 기준으로 보이스피싱 등으로 고객 자금이 유출된 사례도 확인되지 않았어요. 다만 신한은행과 KB국민은행에서는 이름·연락처와 함께 소득, 대출정보 등 금융정보까지 유출됐어요. 유출된 개인정보를 결합한 맞춤형 대출빙자 사기에 각별히 유의해야 합니다.

---

금융권 AI 해킹, 어떻게 이루어졌나

이번 금융권 AI 해킹은 9월 말부터 10월 초까지 국내 금융회사를 겨냥해 이어졌습니다. 수사는 사이버테러대응과장을 팀장으로 한 경찰 전담수사팀 4개팀 28명이 맡습니다.

공격자는 인공지능(AI) 도구를 활용해 다수 금융사를 대상으로 대량으로 자동화된 공격을 한 것으로 파악됐습니다. 보안기업 CrowdStrike는 공격자가 통제하는 공개 디렉터리에서 Claude Code 세션 기록과 「ARTEX」 설정 파일을 확인했어요. 공격자는 이번 공격에 ARTEX와 대규모 언어모델(LLM)을 함께 활용했습니다.

공격자는 중국어를 사용하고 금전적 목적을 가진 것으로 추정되지만, 특정 해킹 조직으로 지목되지는 않았습니다. 이번 공격으로 AI 도구를 활용한 금전 목적의 공격자가 짧은 기간에 여러 금융회사를 잇따라 침입할 수 있다는 것이 드러났습니다.

---

7개 금융사별 유출 대상과 유출 항목

침해 사고가 확인된 금융회사는 은행 4곳, 저축은행 2곳, 캐피탈 1곳 등 7곳입니다. 금융사별 유출 대상과 항목은 다음과 같습니다.

침해된 시스템 대부분은 고객이 이용하는 인터넷뱅킹이 아니라 대출모집인·외주 인력·임직원이 업무에 사용하는 외부 접점입니다. 금융위원회는 최근 침해사고의 원인이 된 대출모집인·위탁업체 등 외부인력과 임직원이 사용하는 시스템에서 개인신용정보가 불필요하게 보관·조회되지 않도록 하고, 인증 절차가 누락되거나 우회되지 않도록 점검할 것을 금융권에 요구했어요.

신한은행은 고객별로 유출 항목이 다릅니다. 본인에게 해당하는 항목은 신한은행 「개인(신용)정보 유출조회」에서 확인해야 해요.

---

비밀번호·OTP는 유출되지 않았지만 대출빙자 사기는 주의

현재까지 금번 금융회사의 개인정보 유출 사고와 관련하여 보이스피싱 등 피해로 고객 자금이 유출된 사례는 확인되지 않았습니다.

금융위원회·금융감독원, 「최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요」(2026.10.6.)

이번 사고에서 비밀번호와 OTP 정보 등은 유출되지 않았어요. KB국민은행에서 고객정보가 유출된 시스템은 직원용 모바일 업무지원 시스템으로 인터넷뱅킹 등 금융거래와는 무관하고, BNK부산은행의 인터넷뱅킹과 모바일뱅킹 등 금융거래 시스템도 안전하게 운영되고 있습니다.

그래도 금융당국은 10월 6일 소비자경보 「주의」를 발령했습니다. 사기범이 성명, 주소지 등 유출된 개인정보를 바탕으로 금융회사 직원을 사칭해 저금리 대출, 대환대출 상담을 가장하거나 피해보상을 미끼로 접근할 우려가 있기 때문이죠. 상대가 소득, 대출한도 등 본인의 금융정보를 정확히 언급하더라도, 내 정보를 알고 있다는 이유만으로 정상적인 연락이라고 믿어서는 안 됩니다.

금융당국과 금융회사는 전화·문자로 비밀번호나 인증번호를 요구하거나, 피해보상·계좌보호를 이유로 자금 이체를 요구하지 않습니다. 개인정보 유출 안내나 피해보상을 이유로 인터넷 주소(URL)를 보내지도 않으므로, 불분명한 문자메시지의 URL은 클릭하지 말고 바로 삭제해야 해요.

---

경찰 수사와 금융당국 대응 일지

금융위원회·금융감독원·금융보안원은 9월 30일 신한은행의 침해사고를 접수한 당일 현장조사에 착수했고, 이후 접수된 금융회사들의 침해신고에도 사고조사를 실시하고 있습니다. 날짜별 대응은 다음과 같아요.

10월 4일 회의에서 금융위원장은 보안점검, 외부접점 최소화, 소비자 보호와 피해보상, 위협정보 공유에 더해 “AI공격은 AI로 방어하는” 보안체계 구축을 당부했어요. 이미 공유된 공격정보와 사고사례가 있는데도 점검과 대응을 소홀히 해 유사한 침해사고가 발생하면 정부는 관련 법령에 따라 엄정하게 대응할 예정입니다.

금융당국이 피해예방점검회의에서 금융회사에 지도한 주요 조치는 다음과 같아요.

• 피해고객 전담창구: 관련 금융회사가 개인정보 유출 전담 상담창구를 운영하고, 정보유출 고객에게 안심차단서비스 가입 등을 개별 안내
• FDS 모니터링 강화: 해당 고객 명의의 비대면 대출·계좌개설, 고액 이체 등 고위험 거래에 모니터링과 추가 본인확인 강화
• ASAP 공동 대응: 금융회사·통신사·수사기관이 참여하는 보이스피싱 정보공유·분석 AI 플랫폼으로 의심정보를 공유해 의심계좌 지급정지

---

2차 피해 예방, 안심차단서비스와 개인정보노출자 등록

사기범이 악성앱 등으로 확보한 정보로 피해자 명의의 대출을 무단 실행하는 명의도용 피해도 우려됩니다. 명의도용 피해는 「안심차단서비스」 가입과 「개인정보노출자 사고예방시스템」 등록으로 예방할 수 있어요.

안심차단서비스는 거래 중인 금융회사 영업점이나 ‘내계좌한눈에'(payinfo.or.kr), 은행앱에서 신청합니다. 필요하면 언제든 영업점을 방문해 해제할 수 있고, 해제하면 곧바로 해당 금융거래가 가능하며 다시 가입할 수도 있어요. ‘내계좌한눈에’에서는 본인 모르게 개설된 계좌나 실행된 대출이 있는지도 확인할 수 있습니다.

특히 지급정지를 요청한 뒤에는 기한 안에 해당 금융회사에 피해구제 신청서를 제출해야 해요.

---

유출 여부는 금융회사 공식 채널에서 확인

본인의 개인정보 유출 여부와 유출 내용은 해당 금융회사의 공식 홈페이지·앱 또는 고객센터 대표번호로 직접 확인해야 합니다. 신한은행, 하나은행, 예가람저축은행, 웰컴저축은행 등은 유출 공지와 피해 접수 연락처를 공식 홈페이지에 게시했어요. 문자로 받은 링크나 전화번호가 아닌 공식 채널로 확인하는 것이 유출 정보를 악용한 사기를 피하는 방법입니다.

금융당국은 개인정보 유출을 이용한 실제 피해가 확인되면 소비자경보 등급을 「주의」에서 「경고」로 격상하고 추가 조치를 마련할 계획입니다. 각 금융회사가 공지한 유출 규모와 항목은 현재까지 확인된 내용이므로, 거래 중인 금융회사의 공지를 다시 확인해 두셔야 해요.

---

출처·참고자료

• 금융위원회·금융감독원, 「최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요」 보도참고자료 (2026.10.6.)
• 금융위원회, 「全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다」 보도참고자료 (2026.10.4.)
• 신한은행, 「개인(신용)정보 유출 사실 통지 안내」 (2026.10.1.)
• KB국민은행, 「개인(신용)정보 유출 관련 안내」 (2026.10.2.)
• 하나은행, 「개인(신용)정보 유출 관련 안내 및 사과문」 (2026.10.3.)
• BNK부산은행, 「개인정보 유출관련 안내 및 사과문」 (2026.10.7.)
• 예가람저축은행, 「개인정보 유출 사실 통지 안내 및 사과문」 (2026.10.2.)
• 웰컴저축은행, 「기업뱅킹 관련 개인정보 유출 사실 통지 및 사과문」 (2026.10.5.)
• CrowdStrike, ‘Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance’ (2026년 10월 7일)
• 조세금융신문, ‘경찰, 금융권 해킹 정식수사로 전환…4개팀 28명 본격 수사착수’ (2026년 10월 6일)
• SBS Biz, ‘현대캐피탈도 해킹 피해…대출모집인 정보 일부 유출’ (2026년 10월 3일)
• 아이뉴스24, ‘[은행 보안 구멍] 해킹 공격에 줄줄이 뚫려⋯최소 6.5만여명 개인정보 유출 [종합]’ (2026년 10월 2일)
• The Herald Business, ‘Exclusive: Chinese AI tool ARTEX used in wave of bank hacks, probe finds’ (2026년 10월 3일)
• 노컷뉴스, ‘AI로 무차별 해킹 시도·全금융권 비상…피해 사례 더 나올 듯’ (2026년 10월 6일)

위 자료를 수집·분석하여 본문 작성에 참고하였으며 2026년 10월 8일 확인 기준입니다. 유출 규모와 항목은 각 금융회사가 현재까지 확인한 내용이므로, 거래 중인 금융회사의 공식 홈페이지·앱에서 다시 확인하시기 바랍니다.

---

함께 보면 좋은글

• 신한은행 정보유출 조회·보상 청구 순서 정리 (주민등록번호·대출정보 포함 여부 확인)
• 털린 내 정보 찾기 조회 순서 정리 (유출이력 있음이면 비밀번호부터 변경)
• 명의도용 확인 순서 — 내 명의 휴대폰·계좌·대출 조회와 신규 거래 차단
• 정보통신망법 개정 시행일 10월 1일, 달라지는 점 — 해킹 24시간 신고·불법스팸 과징금