최근 금융회사에서 정보유출과 사이버공격이 잇따르면서 내가 이용하는 은행이나 금융회사도 사고 대상에 포함됐는지 확인하려는 이용자가 늘고 있습니다.
금융위원회는 10월 2일 금융감독원·금융보안원과 주요 은행·카드사 등이 참석한 긴급 상황대응 회의를 열었습니다. 금융위는 9월 30일 발생한 신한은행 정보유출 사고에 이어 국민은행 등 주요 금융회사에 대한 사이버공격으로 추가 피해가 발생했다고 밝혔습니다. 현재는 개별 사고의 원인과 피해 범위를 조사하는 단계인 만큼, 공격을 받은 회사와 실제 개인정보가 유출된 회사를 구분해서 볼 필요가 있습니다.
내 금융회사는 포함됐나
2026년 10월 4일 현재 공개 내용
| 구분 | 금융회사 | 현재 직접 확인되는 내용 |
|---|---|---|
| 은행 | 신한은행 | 금융위가 9월 30일 정보유출 사고 발생 사실을 확인했습니다. 거래 고객은 신한은행의 최신 공지와 본인 대상 안내를 확인할 필요가 있습니다. |
| 은행 | 하나은행 | 하나은행은 고객 89명의 정보가 유출된 정황을 확인했다고 10월 3일 공지했습니다. 대상 고객에게 개별 안내를 했다고 밝혔습니다. |
KB국민은행, BNK부산은행, 예가람저축은행, 현대캐피탈도 최근 개인정보 유출 관련 내용이 알려졌습니다. 다만 이번 글에서는 각 회사의 직접 고객 공지 원문을 모두 확보하지 못해 보도된 인원이나 유출 항목을 확정 수치로 싣지 않았습니다. 특히 부산은행과 현대캐피탈 관련 사고는 일반 고객정보 유출과 직원·외주 인력 또는 대출모집인 정보 노출을 구분해서 봐야 합니다.
우리은행과 NH농협은행처럼 공격 시도나 점검 사실만 알려진 금융회사는 개인정보 유출이 확인된 회사 목록에 포함하지 않는 것이 적절합니다.
금융당국은 외부 노출 시스템 전반을 다시 점검
금융위는 이번 사고 이후 금융회사에 외부에서 접근 가능한 IT 자산과 서비스를 빠짐없이 파악해 보안 취약점과 접근통제 상태를 점검하도록 했습니다. 고객 대상 서비스인지 내부 업무용 서비스인지와 관계없이 외부에서 접근할 수 있는 시스템 전체가 점검 대상입니다.
인증 없이 내부정보에 접근할 수 있는 경로가 있는지, 개인정보 조회 과정의 인증 절차가 부족하지 않은지도 점검하도록 했습니다. 공격에 사용된 IP주소와 공격수법, 침해 시도 내역 등은 관계기관과 금융회사 사이에 신속히 공유하기로 했습니다.
2014년 뒤 제도는 강화됐지만
2014년 카드 3사 사고 이후 금융권의 개인정보 보호 규정과 감독체계는 강화됐습니다. 정부는 개인정보의 과도한 수집·제공·유통 관행을 개선하고, 금융회사의 정보보호 책임과 제재를 강화하는 재발방지 대책을 내놨습니다.
다만 제도 강화가 침해 위험 자체를 없앤 것은 아닙니다. 외부 침입, 계정 탈취, 외부에 노출된 시스템처럼 침해 경로가 달라지면서 새로운 유형의 사고가 이어지고 있습니다. 금융회사뿐 아니라 플랫폼·통신·유통업체에서도 대규모 개인정보 유출이 반복되는 이유입니다.
2011년부터 반복된 금융권 개인정보 사고
금융권의 대규모 정보보안 사고는 이번이 처음은 아닙니다. 2011년 현대캐피탈 고객정보 해킹 사고는 금융회사 정보보호 체계를 다시 점검하게 한 대표적 사례입니다.
2014년에는 KB국민카드·NH농협카드·롯데카드에서 대규모 고객정보 유출 사고가 발생했습니다. 금융위는 세 카드사에 각각 3개월간 일부 업무정지와 과태료 처분을 내렸습니다. 신규 카드 발급 등을 제한하는 조치였습니다.
2026년에는 롯데카드가 2025년 발생한 고객 297만 명의 신용정보 유출 사고와 관련해 금융위로부터 1개월 반 업무정지와 과징금 50억 원 처분을 받았습니다. 업무정지는 2026년 8월 1일부터 9월 15일까지 적용됐으며, 현재 진행 중인 제재는 아닙니다. 신규회원의 카드 발급은 제한됐지만 기존 회원의 카드 이용과 카드론·현금서비스 등의 신청은 가능하도록 범위가 구분됐습니다.
금융당국의 제재와 고객 손해배상은 별개
금융회사가 업무정지나 과징금 처분을 받는다고 해서 유출된 모든 고객에게 일정 금액이 자동으로 지급되는 것은 아닙니다.
실제 손해배상에서는 어떤 개인정보가 유출됐는지, 정보가 제3자에게 전달됐는지, 추가 유통 가능성이 있었는지, 회사가 어떤 보호조치와 사후 대응을 했는지 등이 사건별로 판단됩니다.
롯데카드 개인정보 유출 관련 서울중앙지법 판결에서도 일부 원고에게 1인당 10만 원의 위자료 지급이 인정됐지만, 모든 유출 고객에게 일률적으로 지급하도록 한 것은 아니었습니다. 따라서 과거 판결의 금액을 최근 금융회사 사고에 그대로 적용할 수는 없습니다.
내 정보가 포함됐는지 먼저 확인해야 합니다
거래 중인 금융회사에서 사고가 발생했다는 소식을 접했다면 우선 해당 회사의 홈페이지·앱 공지와 본인에게 발송된 문자나 이메일을 확인하는 것이 좋습니다. 회사가 별도의 유출 조회 서비스를 제공한다면 직접 조회할 수 있습니다.
회사가 피싱·명의도용 등에 대한 별도 행동수칙을 안내했다면 그 안내에 따라 조치하면 됩니다. 예를 들어 하나은행은 이번 사고 대상 고객에게 출처가 불분명한 문자나 이메일의 링크를 누르지 말고, 개인정보나 금융정보 입력 요구에 응하지 않도록 안내하고 있습니다.
이번 사고는 여러 금융회사에 대한 공격이 동시에 조사되고 있어 회사별 피해 범위가 추가 확인될 가능성이 있습니다. 따라서 ‘공격을 받았다’는 사실과 ‘내 개인정보가 유출됐다’는 사실을 같은 의미로 받아들이기보다, 거래 금융회사의 직접 통지와 최신 공지를 확인하는 것이 가장 중요합니다.