검색결과 총 156건
-
-
"내 정보 안다고 믿었다간"…빗썸, 유출 정보 악용한 2차 사기 경고
[경제일보] 이름과 휴대전화번호, 과거 이용 내역까지 정확히 안다고 정상적인 연락은 아니다. 다른 서비스에서 유출된 정보가 금융회사·거래소 직원을 사칭하는 재료로 쓰이고, 피해 예방이나 보상을 명목으로 추가 정보를 빼내는 사기로 이어질 수 있기 때문이다. 빗썸은 이러한 ‘개인정보 유출 이후의 2차 사기’를 주제로 10월 정보보호 캠페인을 진행한다고 16일 밝혔다. 이미 노출된 정보를 악용해 이용자의 경계심을 낮춘 뒤 계정과 자산에 접근하는 수법을 알리고, 대응 요령을 안내한다. 캠페인이 주목한 것은 실제 정보와 거짓 안내를 섞는 방식이다. 사기범은 이름·이메일·과거 주문번호·이용 서비스명 등을 제시한 뒤 “유출 보상 대상”이라거나 “보안 점검이 필요하다”고 접근한다. 상대가 자신을 잘 안다는 인상을 줘 가짜 로그인 페이지 접속, 원격제어앱 설치, 자금 이체를 유도한다. 유출된 정보를 두 가지 경로로 악용할 수 있다는 점도 문제다. 개인정보는 사칭 연락의 신뢰도를 높이는 데 쓰이고, 아이디·비밀번호 조합은 다른 서비스의 로그인에 반복 대입된다. 여러 사이트에서 같은 비밀번호를 쓰면 한 곳의 정보 노출이 다른 계정의 탈취로 번질 수 있다. 유출된 인증정보를 다른 서비스에 대입하는 공격을 ‘크리덴셜 스터핑’이라고 한다. 금융당국도 같은 위험을 경고하고 있다. 금융위원회는 지난 6일 금융권 개인정보 유출에 따른 보이스피싱·스미싱 소비자경보 ‘주의’를 발령했다. 당시 비밀번호·일회용 비밀번호(OTP) 정보가 유출되지 않았더라도, 성명과 주소 등 노출된 정보를 결합한 맞춤형 사기에 유의해야 한다고 설명했다. 이는 비밀번호를 바꾸는 조치와 사칭 연락을 가려내는 대응이 함께 필요하다는 뜻이다. 금융당국은 금융회사에 한 달간 2차 피해 특별대응기간과 피해 고객 전담 창구를 운영하고, 유출 정보를 결합한 이상거래탐지시스템(FDS) 대응도 강화하도록 지도했다. 빗썸은 보상이나 보안 점검 안내를 받으면 메시지 속 링크 대신 평소 쓰던 공식 앱·홈페이지에서 직접 확인할 것을 권고했다. 비밀번호는 다른 사이트와 겹치지 않게 설정하고, 노출된 비밀번호와 같거나 유사한 조합을 쓰는 서비스도 함께 변경하도록 안내했다. 계정에는 ‘2채널 인증’ 등 추가 인증 기능을 설정할 수 있다. 비밀번호만 알아서는 로그인하기 어렵게 만드는 장치다. 다만 사칭 사이트에 인증번호까지 직접 입력하면 추가 정보가 넘어갈 수 있어, 인증 기능을 켜는 것과 별개로 비밀번호·OTP·인증코드를 타인에게 전달하지 않는 것이 중요하다. 개인정보보호위원회와 한국인터넷진흥원(KISA)의 ‘털린 내 정보 찾기’에서는 계정정보의 불법 유통 여부를 조회할 수 있다. 명의도용 금융거래가 우려되면 금융회사의 안심차단서비스도 활용할 수 있다. 여신거래, 비대면 계좌개설, 오픈뱅킹 차단은 각각 대상이 다른 서비스이므로 필요한 항목을 확인해 신청해야 한다. 이미 의심스러운 프로그램을 설치했다면 감염 기기의 와이파이·모바일데이터 연결부터 끊어 추가 유출과 원격제어를 막아야 한다. 이후 감염되지 않은 별도 기기로 비밀번호 변경과 추가 인증 재설정, 발급한 API 키 삭제, 출금 주소·거래 내역 점검 등을 진행하도록 빗썸은 안내했다. 이상 거래는 빗썸 고객센터에 즉시 알리고 계정 보호 조치를 요청할 수 있다. 은행 계좌로 사기 자금을 송금했다면 경찰 112나 해당 금융회사에 지급정지를 요청해야 한다. 빗썸 관계자는 “개인정보는 한 번 유출되면 시간이 지난 뒤에도 다시 악용될 수 있어, 상대방이 내 정보를 알고 있다는 이유만으로 신뢰해서는 안 된다”고 말했다.
2026-10-16 09:30:51
-
-
금감원, 예가람·웰컴저축은행 해킹 현장점검…유출 경위 확인
[경제일보] 금융감독원이 해킹으로 고객정보가 유출된 예가람저축은행과 웰컴저축은행을 대상으로 현장 점검에 착수했다. 사고 원인과 개인정보 유출 경위를 확인한 뒤 필요할 경우 검사로 전환할 방침이다. 13일 금융권에 따르면 금감원은 이날 두 저축은행에 인력을 보내 최근 발생한 해킹 사고의 경위와 피해 규모, 금융사의 대응 과정 등을 살펴보고 있다. 예가람저축은행은 지난달 30일 해킹 공격을 받아 고객 개인정보 약 5만건이 유출된 것으로 추정된다. 유출 정보에는 성명과 생년월일, 연락처뿐 아니라 계좌번호와 주민등록번호, 직장명, 주소 등이 포함된 것으로 알려졌다. 정확한 유출 규모는 현재 확인 중이다. 예가람저축은행은 지난 2일 처음 사고를 공지할 당시 성명과 생년월일, 연락처를 유출 항목으로 안내했다. 이후 주민등록번호와 계좌번호, 주소 등 추가 정보의 유출 사실이 확인되면서 안내 내용을 보완했다. 웰컴저축은행에서는 지난달 27일 해킹으로 법인 인터넷뱅킹 아이디와 법인명, 대표자 이름, 회사 연락처, 휴대전화번호, 이메일주소 등이 외부로 유출됐다. 웰컴저축은행은 유출된 데이터 2370건 가운데 개인정보가 포함된 데이터가 2299건인 것으로 추정하고 있다. 금감원은 이번 현장 점검에서 확인되는 사고 내용과 금융회사 대응 수준 등을 토대로 정식 검사 전환 여부를 결정할 예정이다. 앞서 금감원은 고객 약 2만5000명의 정보가 유출된 신한은행을 대상으로 지난 6일부터 현장검사를 진행하고 있다. 고객 119명의 정보 유출이 확인된 KB국민은행에는 정기검사 중이던 정보기술(IT) 검사 인력을 지난 1일부터 투입해 사고 내용을 파악하고 있다. 고객 89명의 개인정보가 유출된 하나은행과 주택대출 모집인 146명의 일부 정보가 유출된 현대캐피탈에 대해서는 현재 별도 현장 점검 일정이 정해지지 않은 것으로 전해졌다. 금감원은 정보 유출 규모와 사고 성격 등을 고려해 피해가 큰 금융회사부터 점검에 나서는 것으로 보인다.
2026-10-13 13:13:06
-
-
-
-
-
-
-
-
국민·하나·부산은행도 당했다…고객정보 줄줄 새는 금융권, 보안은 어디에
[경제일보] 은행권에서 개인정보 유출 사고가 잇따르면서 대출조회와 직원용 업무지원 시스템 등 외부에서 접근할 수 있는 업무 시스템이 보안 사각지대로 떠올랐다. 고객이 직접 사용하는 인터넷·모바일뱅킹뿐 아니라 영업과 업무 편의를 위해 외부 접속을 허용한 시스템에서도 개인정보가 빠져나갔다. 일부 사고에서는 인공지능(AI) 에이전트가 활용됐을 가능성까지 제기되면서 금융권은 개인정보 접근 권한과 공격 탐지·차단 체계를 함께 점검하고 있다. 3일 금융권에 따르면 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행에서 개인정보 유출이 확인됐다. 우리은행과 NH농협은행도 외부 공격을 받았지만 현재까지 정보 유출은 확인되지 않았다. 신한은행에서는 대출모집인용 간편조회 서비스에 대한 본인확인 절차를 우회한 접근으로 고객 2만5729명의 정보가 유출됐다. 고객명과 전화번호, 연소득, 대출한도, 신청 상품과 금리 등 대출 관련 정보가 포함됐으며 주민등록번호 66건과 연계정보(CI) 97건도 유출된 것으로 파악됐다. KB국민은행에서는 직원용 모바일 업무지원시스템에 대한 외부 침입으로 임직원 20명과 고객 99명 등 총 119명의 개인정보 153건이 유출됐다. 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다. 하나은행에서도 영업지원시스템(ODS)에 대한 비정상적인 접근으로 고객 89명의 개인정보가 유출됐다. 주민등록번호와 성명, 주소, 연락처, 직장명 등이 포함됐으며 은행 측은 고객의 금융거래 정보는 유출되지 않았다고 밝혔다. 부산은행에서는 외주 개발직원 11명의 개인정보가 노출됐다. 성명과 전화번호, 생년월일, 이메일 주소 등이 포함됐으며 고객정보는 유출되지 않았다고 은행 측은 밝혔다. 예가람저축은행에서도 개인정보가 포함된 서버에 대한 외부 침입으로 성명과 생년월일, 연락처 등이 유출됐으며 피해 규모는 약 4만명으로 추산되고 있다. 이번 사고에서 공통적으로 드러난 것은 외부에서 접근할 수 있으면서 개인정보를 취급하는 시스템이다. 대출모집인은 고객의 대출 조건을 조회하고 은행 직원은 현장에서 업무를 처리하기 위해 고객정보에 접근한다. 업무 편의를 높이기 위해 외부와 연결한 경로가 공격자에게는 개인정보 접근 통로가 될 수 있다는 의미다. 따라서 고객정보 보호 범위도 실제 데이터가 오가는 경로 전체로 넓혀야 한다. 고객용 뱅킹 서비스뿐 아니라 직원용 앱과 영업지원시스템, 외주 인력이 이용하는 웹페이지까지 인증과 접근통제가 제대로 작동하는지 점검해야 한다. 어떤 시스템이 어떤 정보를 보유하고 누가 조회할 수 있는지도 세분화할 필요가 있다. 신한은행 사례처럼 인증 절차를 거쳤더라도 해당 이용자에게 특정 고객정보를 조회할 권한이 있는지 다시 확인하는 과정이 중요하다. 미국 국립표준기술연구소(NIST)가 제시하는 제로트러스트 원칙 역시 접속 위치나 기기만으로 사용자를 신뢰하지 않고 정보자원에 접근할 때마다 신원과 권한을 검증하는 것을 핵심으로 한다. 공격을 얼마나 빨리 발견했는지도 쟁점이다. KB국민은행에 대한 공격은 지난달 27일 오후 11시19분께 시작됐고 은행이 이를 인지한 것은 지난달 30일 오후 7시께였다. 최초 공격 이후 약 67시간41분이 지난 뒤였다. 신한은행 역시 최초 공격 15시간26분 뒤 비정상 접근을 감지했고 최종 차단까지는 30시간11분이 걸렸다. AI를 활용한 공격 가능성은 탐지 속도의 중요성을 더욱 키운다. 국내 공격과 관련된 것으로 추정되는 웹서버에서 AI 자율 침투테스트 도구를 의미하는 ‘ARTEX’ 문구가 확인됐다는 분석도 나왔다. 다만 해당 도구가 실제 공격에 사용됐는지와 공격 주체, 금융사별 사고의 연계성은 현재 조사 중이다. 해외에서도 생성형 AI와 코딩 도구를 활용해 취약점 탐색과 정보수집 등 공격 과정의 상당 부분을 자동화한 사례가 보고됐다. 금융회사들은 정상적인 업무와 이상 행위를 구분하는 탐지 체계를 강화해야 한다. 로그인 실패뿐 아니라 평소와 다른 시간대의 접속, 업무 범위를 벗어난 고객정보 조회, 짧은 시간에 집중되는 요청 등을 하나의 흐름으로 분석할 필요가 있다. AI가 공격 과정의 반복 작업을 자동화할수록 개별 접속 기록만으로는 이상 징후를 찾기 어려워질 수 있기 때문이다. 금융당국도 외부에 노출된 전산시스템 전반으로 점검 범위를 넓혔다. 금융위원회는 2일 금융권 긴급 상황 대응 회의를 열고 은행과 카드업권에 외부에서 접근할 수 있는 전산시스템과 서비스에 대한 자체 보안 점검을 지시했다. 금융회사들은 외부 노출 자산과 접근통제 현황, 인증 절차, 비인가 정보 조회 경로 등을 점검해야 한다. 이번 연쇄 사고 이후 금융권의 보안 점검은 장비 설치 여부를 넘어 개인정보가 어느 시스템으로 전달되고 누가 조회하며 비정상 접근을 얼마나 빨리 탐지·차단하는지까지 확대될 전망이다. 자체 시스템은 물론 협력사가 구축·운영하는 서비스까지 관리 범위에 포함해야 한다는 요구도 커질 것으로 보인다. AI를 활용한 방어 역시 접속 기록 분석과 이상 징후 탐지부터 확대하되, 금융거래나 시스템 변경처럼 위험도가 높은 조치는 사람의 승인과 복구 절차를 함께 두는 방식이 필요하다.
2026-10-03 12:06:29
-
-
-
고객정보 2만5000명 유출·173억 대출사기…흔들리는 신한은행 정상혁號
[경제일보] 신한은행이 잇단 금융사고로 내부통제 시험대에 올랐다. 최근 외부 공격으로 고객 2만5000여명의 개인·신용정보가 유출된 데 이어 앞서 발생한 부동산 관련 대출사기 사고 규모도 조사 과정에서 173억원까지 확대됐다. 두 사건 모두 은행 임직원의 횡령·배임과는 성격이 다르다. 개인정보 유출은 외부 비인가자의 공격, 대출사기는 외부인의 사기 행위가 직접적인 원인이다. 다만 외부에서 발생한 위험을 은행의 보안·여신관리 시스템이 얼마나 신속하게 탐지하고 차단했는지가 금융당국의 점검 대상으로 떠올랐다. 2일 금융권과 금융당국 등에 따르면 신한은행에서는 최근 외부 비인가자가 인증 절차를 우회해 일부 서비스에 접근하면서 약 2만5000명의 고객정보가 유출됐다. 유출 정보에는 고객 이름과 전화번호, 연소득, 대출 산출한도 등이 포함됐다. 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 유출된 것으로 파악됐다. 금융감독원은 긴급 현장점검에 착수해 정확한 사고 경위와 피해 범위, 신한은행의 정보보호 체계 등을 들여다보고 있다. ◆대출모집인 서비스가 공격 통로…금감원 조사 착수 이번 사고는 신한은행의 핵심 전산망이나 고객용 모바일뱅킹 시스템이 아닌 대출모집인이 사용하는 별도 서비스를 통해 발생한 것으로 알려졌다. 해당 서비스는 대출모집인이 자신이 접수한 고객의 대출 진행 상황 등을 조회하는 데 사용된다. 외부 공격자는 정상적인 본인 확인 절차를 우회해 고객정보에 접근한 것으로 파악되고 있다. 금융당국은 구체적인 공격 방식과 보안상 취약점, 이상접속 탐지·차단 시스템의 작동 여부 등을 조사할 것으로 보인다. 핵심 전산망이나 모바일뱅킹 시스템 자체가 침해된 것으로 확인된 것은 아니다. 2일에는 공격에 이용된 것으로 추정되는 서버에서 중국어 기반 오픈소스 인공지능(AI) 침투테스트 도구와 관련된 흔적이 발견됐다는 보도도 나왔다. 다만 해당 도구가 실제 공격에 사용됐는지는 확인되지 않았다. 신한은행은 사고 인지 이후 외부 IP를 차단하고 관련 서비스를 중단하는 등 긴급 조치를 취했다. 정상혁 신한은행장은 사과문을 통해 개인정보 보호체계를 전면 재점검하고 이번 사고로 고객에게 실제 손해가 발생할 경우 전액 보상하겠다고 밝혔다. ◆대출사기 29억→69억→173억원…사고 규모 계속 늘어 앞서 신한은행에서는 외부인이 개입한 부동산 관련 대출사기도 발생했다. 신한은행이 최종 정정 공시한 사고 금액은 173억4355만원이다. 지난해 12월 최초 공시 당시 29억6440만원이었던 사고 규모는 자체 조사와 경찰 수사 과정에서 올해 6월 69억6890만원으로 늘었고, 8월 다시 173억4355만원으로 확대됐다. 최초 공시액의 약 5.9배다. 신한은행은 조사 과정에서 같은 유형의 사고가 추가로 확인돼 사고 금액을 정정했다는 입장이다. 해당 사건은 외부인이 허위 서류 등을 이용해 대출을 받은 사기 사건으로 신한은행 역시 피해자다. 다만 사고 금액이 조사 과정에서 세 차례 확대되면서 대출심사와 이상거래 탐지, 사고 발생 이후 유사 거래 점검 과정이 적절했는지는 점검 대상이 될 것으로 보인다. 유사한 대출사기는 다른 금융회사에서도 발생했다. 공개된 금융당국 자료에 따르면 은행·상호금융권에서 확인된 관련 사고는 136건, 1091억원 규모다. 금융회사별로는 IBK기업은행 182억원, 신한은행 173억원, 우리은행 99억원, KB국민은행 36억원 등이다. 이에 따라 금융권에서는 개별 금융회사의 사고 책임과 별도로 허위 분양·재직·소득서류 등을 이용한 이른바 '작업대출'에 대한 은행권 여신심사 체계를 강화해야 한다는 지적이 나온다. ◆책무구조도 실효성도 도마…정상혁 행장 연말 임기 만료 최근 사고는 신한은행이 책무구조도를 시행하고 있다는 점에서도 주목된다. 신한은행은 2024년 금융당국에 책무구조도를 제출했다. 정 행장도 올해 신년사에서 책무구조도 시행 이후 내부통제 체계를 고도화하고 사고 예방 중심의 금융소비자 보호 시스템을 강화하겠다고 밝혔다. 책무구조도는 금융회사 임원별 담당 업무와 내부통제 책임을 구체화한 제도다. 금융사고 발생 자체보다 담당 임원이 자신의 책무 범위에서 필요한 관리조치를 제대로 이행했는지가 책임 판단의 주요 기준이 된다. 금감원은 이번 현장점검에서 대출모집인 관련 서비스의 보안점검과 접근권한 관리, 이상접속 탐지체계 등이 적절하게 운영됐는지를 살펴볼 것으로 예상된다. 이번 사고는 연말 신한은행장 인선을 앞두고 발생했다는 점에서도 부담이다. 정 행장은 2023년 취임한 뒤 한 차례 연임해 올해 말 임기가 끝난다. 금융권에서는 그동안 추가 연임 가능성이 거론돼 왔지만 개인정보 유출 사고와 이에 대한 금융당국의 조사 결과가 향후 인선 과정에서 변수로 작용할 가능성이 있다. 다만 현재 조사가 진행 중인 만큼 정 행장 개인의 책임이나 제재 여부는 확정되지 않았다. 국정감사 출석 여부도 관심사다. 정 행장은 금융권 관련 1차 증인 명단에서는 제외됐지만 이번 개인정보 유출 사고 이후 추가 증인 채택 가능성이 거론되고 있다. 금융감독원 국정감사와 금융위·금감원 종합감사가 남아 있어 여야 협의 결과에 따라 증인으로 추가될 가능성이 있다. 금융권에서는 이번 사고를 계기로 신한은행의 외부채널 보안과 개인정보 접근권한, 이상거래 탐지 체계 등이 금융당국의 집중 점검 대상이 될 것으로 보고 있다. 특히 대출모집인 등 외부채널을 통한 고객정보 접근 관리와 이상접속 차단, 대출 과정에서 반복되는 비정상 거래 탐지 등이 주요 점검 대상으로 꼽힌다. 신한은행 관계자는 개인정보 유출 사고와 관련해 고객 피해 방지를 최우선으로 필요한 조치를 시행하고 있으며 개인정보 보호체계 전반을 재점검하겠다는 입장이다.
2026-10-02 15:33:33