편집 기획안 — 왜 지금 이 시리즈인가?

벤처투데이 심층기획 | 기준일 2026. 10. 6. | 자료 기간 2026. 9. 27. ~ 10. 5. 

이상권 기자  sangkummk@gmail.com

본 문서는 전 6회 + 부록으로 구성된 시리즈 중 편집 기획안입니다.

2026년 9월 말에서 10월 초, 대한민국 금융권은 단일 사고로 설명할 수 없는 연쇄 침해 국면을 맞았다. 신한은행 2만 5,729명을 시작으로 KB국민·하나·BNK부산은행에서 개인정보 유출이 확인됐고, 우리은행과 NH농협은행도 같은 유형의 공격을 받았다. 피해는 곧바로 제2금융권으로 번져 예가람저축은행(약 4만 명 추정)·현대캐피탈(146명)·웰컴저축은행(법인고객 최대 2,200건)까지 이어졌다.

이번 사건이 종전의 침해사고와 결정적으로 다른 지점은 세 가지다. 

첫째, 공격 대상이 핵심 거래망이 아니라 '옆문'에 해당하는 대외 노출 업무 지원 시스템이었다. 

둘째, AI 기반 자율 침투 도구의 흔적이 금융보안원 역추적에서 실제로 확인됐다. 

셋째, 한 회사의 취약점이 업권 전체의 취약점으로 즉시 전이되는 구조가 드러났다.

본 시리즈는 이 사건을 단발성 보도로 소비하지 않고, (1) 사고 경위, (2) 원인, (3) 대응 평가, (4) 향후 대책, (5) 준비 전략, (6) 대안 기술 검토의 6개 회차로 나누어 기록한다. 마지막 회차에서는 영지식 증명(Zero-Knowledge Proof, ZKP)이 이번 사고 유형의 대안이 될 수 있는지를 냉정하게 검토한다. 결론을 미리 밝히면, ZKP는 '대안'이 아니라 '보완재'이며, 우선순위는 기본 보안 위생에 있다.

시리즈 구성

Table 1: 표 1. 시리즈 구성

제1회. 사고의 전모 — 2026년 10월, 금융권을 덮친 연쇄 침해

핵심 요약 — 2026년 9월 27일 KB국민은행에 대한 공격을 시작으로, 신한·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈까지 7개 금융회사에서 침해사고가 확인됐다. 그러나 뚫린 것은 고객의 예금을 지키는 핵심 거래망이 아니라, 대출모집인·임직원·외주 인력이 쓰던 대외 노출 업무지원 시스템이었다.

1. 사건 개요

사건의 출발점은 신한은행이었다. 신한은행은 대출모집인이 고객의 대출 처리 현황을 조회하는 모바일 전용 서비스가 외부 비인가자의 침입을 받아 고객 2만 5,729명의 정보가 유출됐다고 밝혔다. 유출 항목은 이름과 휴대 전화번호에 그치지 않았다. 연소득, 대출 산출한도, 신청 상품, 금리 등 대출 심사에 직결되는 신용정보가 포함됐고, 주민등록번호 66건과 연계정보(CI) 97건도 함께 빠져나갔다.

이어 KB국민은행(119명), 하나은행(89명), BNK부산은행(외주 개발직원 11명)이 연달아 유출 사실을 공시했다. 우리은행과 NH농협은행도 같은 유형의 공격을 받았으나, 공격자가 노린 취약점 자체가 존재하지 않아 침해사고로 이어지지 않은 것으로 금융보안원 조사에서 파악됐다. 이는 "방화벽으로 막았다"는 초기 설명과는 결이 다른, 더 정확한 진단이다. 즉 이번 사고는 공격을 탐지해서 막은 것이 아니라, 애초에 뚫릴 구멍이 없었던 것이다.

피해는 은행권에서 멈추지 않았다. 예가람저축은행에서 약 4만 명(추정)의 고객 이름·생년월일·연락처가 유출됐고, 현대캐피탈은 주택대출 모집인 146명의 정보가 빠져나갔다. 웰컴저축은행은 외부 공격이 아니라 자체 점검 과정에서 법인고객 정보 최대 2,200건의 유출을 뒤늦게 확인했다. 새마을금고와 농협 상호금융에도 유사한 침입 시도가 포착됐으나 유출은 확인되지 않았다.

2. 기관별 피해 현황

Table 1: 표 1. 기관별 피해 현황 (2026. 10. 5. 기준 공개 정보)

규모의 편차가 극단적이라는 점에 주목할 필요가 있다. 신한은행 2만 5,729명과 BNK부산은행 11명은 2,300배 차이다. 이 차이는 공격자의 관심도가 아니라 각 시스템이 조회할 수 있게 열어둔 데이터의 범위에서 발생했다. 신한은행의 모집인 서비스는 한 번의 조회로 연소득·대출한도·금리까지 반환했고, 부산은행의 외주 인력 정보는 애초에 담긴 항목이 적었다.

3. 사고 경위 타임라인

언론에 처음 보도된 시점과 실제 공격이 시작된 시점은 다르다. 국회 제출 자료를 통해 확인된 실제 공격 시점은 보도보다 길게는 나흘 앞선다.

Table 2: 표 2. 사고 경위 타임라인

타임라인이 보여주는 가장 불편한 사실은 지속 시간이다. KB국민은행은 42시간 41분 동안, 하나은행은 10시간 36분 동안 공격을 받았고, 하나은행이 유출을 인지한 것은 공격이 끝난 뒤였다. 실시간 탐지·차단 체계가 작동했다면 피해는 훨씬 작았을 것이다.

4. 이 사고가 던진 다섯 가지 질문

1.   왜 하필 '업무지원 시스템'이었는가 — 고객 거래망에는 수십 년치 보안 투자가 집중됐지만, 모집인 포털과 직원용 앱은 그 사각지대에 놓여 있었다.

2.   AI가 정말 공격의 주체인가 — 금융보안원은 AI 기반 자율 침투도구 'ARTEX' 관련 흔적을 확인했지만, 그것이 실제로 어떤 단계에 쓰였는지는 아직 규명되지 않았다.

3.   왜 규모가 이렇게 다른가 — 시스템별로 '조회 가능한 정보의 범위'가 달랐기 때문이다. 이는 곧 설계의 문제다.

4.   탐지는 왜 실패했는가 — 42시간의 대량 조회를 정상 트래픽으로 판단한 것은 탐지 모델의 문제다.

5.   한 회사의 구멍이 왜 업권 전체의 위험이 되는가 — 동일 인프라·동일 취약점을 공유하는 구조가 그대로 노출됐다.