새마을금고 400명 더 확인…‘비밀번호 미유출’과 금융사기 안전은 다르다

새마을금고에서 고객 400명대의 개인·신용정보가 유출된 사실이 13일 추가로 확인돼 금융당국에 신고됐다. 보안 전문매체 보안뉴스는 고객번호와 이름, 암호화된 주민등록번호, 계좌번호, 계좌잔액, 연락처와 주소 등이 유출 항목에 포함됐다고 보도했다. 금융회사별로 지금까지 공개된 피해를 단순 합산한 규모는 14일 뉴시스 보도 기준 약 6만9000명이다. 다만 온라인투자연계금융업체 일부 피해가 빠져 있고 조사가 진행 중이어서 확정 총계로 볼 수는 없다.

‘로그인 정보는 안전’과 ‘사기에 안전’은 다른 말

금융당국이 7일 낸 소비자경보에서 당시 확인된 사고에 비밀번호와 일회용 비밀번호(OTP)는 포함되지 않았고, 관련 보이스피싱으로 고객 자금이 빠져나간 사례도 확인되지 않았다고 밝혔다. 이는 공격자가 유출 정보만으로 인터넷뱅킹에 바로 접속할 수 있다는 뜻은 아니라는 설명이다. 그러나 계좌 비밀번호가 빠져 있다는 사실과 2차 사기 위험이 낮다는 판단은 같지 않다.

이름·주소·직장·연소득·대출 한도·연락처 가운데 여러 항목이 결합되면 사기범은 일반 광고가 아니라 실제 상담 기록을 아는 듯한 전화를 만들 수 있다. “기존 대출을 낮은 금리로 바꿔주겠다”거나 “유출 피해를 보상하려면 보호계좌로 옮겨야 한다”는 식이다. 금융당국은 상대가 본인의 소득이나 대출 정보를 정확히 말하더라도 정상적인 금융회사 연락이라고 믿지 말라고 경고했다.

새마을금고 사례는 공식 설명도 기준 시점을 붙여 읽어야 한다는 점을 보여준다. 금융위원회는 6일 당시까지 확인된 사고에서는 계좌정보처럼 금융거래에 직접 이용되는 정보가 빠져나간 사실과 중국 이전 정황이 확인되지 않았다고 설명했다. 그 뒤 13일 새마을금고 사고 보도에는 계좌번호와 잔액이 포함됐다. 조사 중인 연쇄 사고에서는 “확인되지 않았다”를 “앞으로도 없다”로 확대해석하면 안 된다.

핵심망보다 ‘옆문’…28개 IP와 지원시스템

이번 연쇄 공격의 공통 위험은 고객이 매일 접속하는 뱅킹 앱만이 아니었다. KB국민은행은 직원용 모바일 업무 지원 시스템, 하나은행은 영업지원시스템, 신한은행은 대출모집인용 서비스가 공격 대상이었다고 각사가 설명했다. 고객 거래 시스템과 분리된 업무지원·외부접점 시스템에 개인정보가 남아 있었고, 상대적으로 덜 주목받던 곳이 침입 경로가 됐다.

금융위원회가 8일 공개한 정책영상에 따르면 동시다발 공격에 쓰인 인터넷주소는 28개였다. 경찰 분석에서는 상당수가 실제 접속 위치를 감추는 우회용으로 파악됐다. 새마을금고도 앞선 비정상 접근을 차단했지만 10일 새로운 다수의 인터넷주소에서 공격이 이어져 유출이 발생한 것으로 보도됐다. 특정 주소 차단만으로는 공격자가 경로를 바꿀 때 대응하기 어렵다는 뜻이다.

현행 전자금융감독규정상 일반 정보처리시스템은 연 1회, 공개용 홈페이지는 연 2회 이상 취약점 분석·평가 대상이다. 금융위는 사고 뒤 평가 주기를 줄이고 점검 대상을 넓히며 이행 강제 수단을 강화하는 방안을 추진 중이라고 밝혔다. 아직 구체적인 시행안은 발표 전이다. 횟수만 늘리기보다 대출모집·직원업무·외주개발 시스템까지 자산 목록에 넣고, 조치 뒤 재검증과 책임을 연결하는지가 핵심이다.

유출 확인과 거래 차단은 별개의 두 단계

소비자는 먼저 문자에 포함된 주소를 누르지 말고 해당 금융회사의 공식 앱·홈페이지나 대표번호로 유출 여부와 항목을 확인해야 한다. 금융회사와 금융당국은 유출 안내나 피해보상을 이유로 비밀번호·인증번호, 선입금, 앱 설치, 특정 계좌 이체를 요구하지 않는다. 상대가 실제 개인정보를 알고 있다는 사실도 신뢰의 근거가 아니다.

둘째 단계는 명의도용 거래를 미리 막는 것이다. 금융거래 안심차단서비스는 여신거래, 비대면 계좌개설, 오픈뱅킹 세 종류로 나뉜다. 거래 중인 금융회사 영업점과 ‘내계좌한눈에’, 일부 은행 앱에서 신청할 수 있으며 필요하면 금융회사 영업점에서 해제할 수 있다. 금융당국 집계로 2026년 8월 말 가입자는 약 700만명이지만, 한 사람이 여러 종류에 가입한 중복이 포함된다.

금융감독원 ‘파인’의 개인정보노출자 사고예방시스템 등록도 별도 조치다. 등록 정보가 금융회사에 실시간 공유돼 신규 계좌 개설과 신용카드 발급 심사가 강화된다. 곧 대출이나 계좌 개설이 예정돼 있다면 차단·등록 뒤 해제 절차와 필요한 시간을 먼저 확인하는 편이 좋다.

이미 돈을 보냈다면 예방 단계가 아니라 지급정지 단계로 넘어가야 한다. 즉시 경찰 112 또는 전기통신금융사기 통합대응단 1394, 해당 금융회사 콜센터에 연락해 지급정지를 요청해야 한다. 금융위 안내는 지급정지 뒤 최대 14일 안에 금융회사에 피해구제 신청서를 내도록 하며, 가능한 한 3영업일 이내 제출을 권한다.

한 달 특별대응보다 남아야 할 것

금융당국은 10월 6일부터 한 달을 개인정보 유출 2차 피해 특별대응기간으로 지정했다. 금융회사에는 피해고객 전담 창구 설치, 유출 정보를 결합한 이상거래탐지 강화, 고위험 비대면 거래의 추가 본인확인을 주문했다. 보이스피싱 정보공유·분석 플랫폼 ASAP에는 2025년 10월 출범 뒤 2026년 8월까지 의심정보 약 50만건이 공유됐고, 의심계좌 7666개를 지급정지해 약 699억4000만원의 피해를 막았다는 것이 당국 설명이다.

특별대응은 당장의 2차 피해를 줄이는 조치다. 장기 과제는 어느 금융회사의 어떤 외부접점에 어떤 정보가 있었는지, 점검에서 왜 빠졌는지, 보완 뒤 재검증이 끝났는지를 공개하는 것이다. 피해자 수만 합산하면 기관마다 다른 유출 정보의 위험도를 놓친다. 사고 공시는 인원과 함께 유출 항목, 암호화 여부, 침입 경로, 최초 인지와 통지 시각, 실제 금전피해 여부를 같은 형식으로 제시해야 비교와 대응이 가능하다.

참고 자료

• 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요 — 개인정보보호위원회·금융위원회·금융감독원(2026년 10월 7일)
• 금융권 개인정보 유출사고🚨 보이스피싱·스미싱 등 피해에 주의하세요 — 금융위원회(2026년 10월 7일)
• 금융회사가 보안취약점을 면밀히 관리하도록 제도개선에 박차를 가하겠습니다. — 금융위원회(2026년 10월 6일)
• 금융권 해킹 IP 상당수 '세탁용'···보안 취약점 관리 강화(2026.10.7.) — 금융위원회(2026년 10월 8일)
• 금융권 연쇄 해킹에 개인정보 유출 확산…'2차 피해' 주의보 — 뉴시스(2026년 10월 14일)
• 새마을금고 400명대 개인정보 유출... 계좌정보도 포함 — 보안뉴스(2026년 10월 14일)
• 국민·하나·부산은행도 당했다…금융권 해킹 피해 확산(종합2보) — 연합뉴스(2026년 10월 2일)
• File:Banca móvil.jpg — 위키미디어 공용