2만5천명, 주민번호 66건이 새 나갔어요
약 2만5천 명. 신한은행이 AI 에이전트를 앞세운 공격에 고객 개인정보를 탈취당한 사고로 확인된 피해 규모예요. 유출 항목에는 주민등록번호 66건과 연계정보(CI) 97건도 포함됐습니다. 정상혁 신한은행장은 10월 1일 홈페이지에 사과문을 올리고 “외부의 비인가자가 비정상적인 방법을 통해 일부 서비스에서 고객정보를 유출한 사실을 확인했다”고 밝혔어요.
유출된 정보는 주민등록번호와 CI를 비롯해 고객명, 전화번호, 연 소득, 대출 한도 등 민감한 항목에 걸쳐 있습니다. 주민등록번호와 CI는 다른 정보와 결합하면 금융사기나 명의도용에 악용될 수 있어, 단순 연락처 유출과는 피해 성격이 다르거든요.
문제가 된 경로는 대출모집인 전용 서비스예요. 신한은행 대출모집인들은 다른 은행과 달리 모바일 홈페이지 ‘M 신한’에서 자신이 접수한 대출 처리 현황을 조회할 수 있었습니다. 외부 비인가자는 이 경로에서 정상적인 본인 확인 절차를 거치지 않고 무단 접근했어요. 모집인 전용 서비스의 통신 전문 구조(코드)를 해킹해 침입한 뒤 조회 입력 값을 무작위로 대입해 정보를 호출하고, 그렇게 확보한 고객 번호로 연락처 등 다른 정보를 탈취한 것으로 전해졌습니다.
보안 전문가들은 신한은행을 특정해 노린 공격이 아니라고 봅니다. 플랫폼 취약점을 파고드는 AI 기반의 무작위 공격에 신한은행이 노출됐다는 분석이에요. 금융권 관계자는 “모집인이 홈페이지에서 대출 처리 현황을 조회하도록 한 시스템은 일반적인 방식이 아니고, 비정상 접근을 원천 차단하는 장치도 마련하지 않은 것 같다”고 지적했습니다.
금융권이 특히 취약한 이유도 여기에 있어요. 고객용 앱은 여러 겹의 인증으로 막아두지만, 사내 협업용이나 특정 직군 전용으로 열어둔 우회 경로는 검증이 상대적으로 느슨해지기 쉽거든요. 다른 은행에 없는 경로를 열어둔 순간, 그 문이 공격자의 출입구가 될 수 있다는 점이 이번 사고의 뼈아픈 대목입니다.
대응도 빠르게 움직였어요. 금융위원회와 금융감독원은 이날 오전 긴급 대응회의를 소집했고, 금융보안원은 전날부터 현장에 나가 원인을 조사 중입니다. 최종 조사 결과 발표까지는 수개월이 걸릴 전망이에요. 신한은행은 비상대책반을 구성하고 외부 IP 차단과 관련 서비스 중단, 신규 보안 정책 적용 등 긴급 조치를 마쳤습니다. 고객이 직접 쓰는 ‘신한 슈퍼SOL’ 앱과는 무관하다는 점도 강조했어요.
업계가 주목하는 건 공격 방식의 변화입니다. 이번 사고는 최근 대규모 유출이 발생한 미용의료정보 플랫폼 강남언니, 온라인 패션 플랫폼 29CM 사고와 유사한 방식으로 분석돼요. AI 에이전트가 발전하면서 값을 무작위로 대입해 취약점을 찾는 시도가 과거와 비교할 수 없이 빨라지고, 사람이 일일이 막아내기 어려운 속도로 반복된다는 게 문제입니다. 김환국 국민대 정보보안암호수학과 교수는 “공격 기술이 진보하는 가운데 은행과 기업의 보안 체계가 그 속도를 따라가지 못하는 측면이 있다”며 “양적인 인프라를 넘어 AI 기반 방어 기술 같은 질적 전환이 필요하다”고 강조했어요.
주요 시중은행의 개인정보 유출은 올해 들어 두 번째입니다. 앞서 우리은행에서는 지난 7월 초 외부 개발업체가 임의 보관하던 개인정보 1만7천551건이 해당 업체 직원 과실로 유출되는 사고가 있었어요.
이번 사고는 금융권 보안의 평가 기준이 ‘AI를 얼마나 잘 도입했나’에서 ‘AI가 공격하는 속도를 얼마나 빨리 따라잡나’로 옮겨가고 있다는 신호로 읽혀요. 신한은행이 내부적으로 AI 전환에 속도를 내온 만큼, 방어 쪽에도 같은 속도를 요구받는 상황이거든요. 금융위와 금감원의 조사 결과가 나오면 다른 금융사도 자체 점검에 나설 가능성이 큽니다. 이번 사고가 국내 금융권 전체의 대응 체계를 한 단계 끌어올리는 계기가 될지가 관건이겠네요.
원문: 연합뉴스 — ‘AI 에이전트’에 당했다…신한은행 보안 허점 노출(종합2보)
작성: sw4u 9시뉴스 안나영 / 2026-10-01 21:00