지난주부터 은행과 저축은행에서 개인정보가 새고 있다는 금융권 해킹 보도가 이어진다. 제목에는 거의 예외 없이 AI 해킹이 붙는다.
그런데 금융위원회가 10월 2일 낸 보도자료를 열어 보면 그 말이 없다. 당국이 쓴 표현은 “사이버공격의 원인, 수법 등을 면밀하게 분석“하라는 것이다. 지금 확인된 것과 아직 분석 중인 것을 갈라 두면, 기사가 쏟아지는 동안 무엇을 믿고 무엇을 기다릴지가 정리된다.
당국 문서에 적힌 것
금융위는 2026년 10월 2일 정부서울청사에서 긴급 상황대응 회의를 열었다. 사무처장 주재였고 금융감독원·금융보안원과 주요 시중은행 6개사, 카드사 3개사, 은행연합회, 여신금융협회가 참석했다. 보도자료가 밝힌 피해는 9월 30일 신한은행 정보유출과 그 뒤의 추가 발생이다.
회의에서 정해진 조치는 넷이다.
| 조치 | 내용 |
|---|---|
| 보안점검 | 외부에 노출된 전산시스템을 점검한다 |
| 노출 최소화 | 불필요한 정보 노출을 줄이고 인증·접근통제를 강화한다 |
| 정보 공유 | 공격에 쓰인 IP 같은 위협정보를 신속히 공유한다 |
| 체크리스트 | 보안취약점 체크리스트를 제공한다 |
여기까지가 문서로 확인되는 범위다. 공격자가 누구인지, 어떤 도구를 썼는지는 이 자료에 없다.
‘AI 해킹’은 어디서 나온 말인가
보도된 내용을 모아 보면 공통으로 전해지는 묘사가 몇 가지 있다. 다만 이것들은 당국 문서가 아니라 보안업계와 당국자의 설명을 언론이 전한 것이다.
- 공격이 고객용 시스템이 아니라 직원·협력사 쪽 시스템에서 들어왔다는 설명.
- 계정이 잠기는 임계값을 피해 한도 직전까지만 시도하는 식으로 자동화돼 있었다는 묘사.
- 악성코드를 심지 않고 여러 나라 IP를 돌려 쓰는 방식이었다는 조사 중 정황.
- 사람 한 명이 1년 vs 하루, 곧 1년 걸릴 침투와 탈취를 자동화된 도구가 하루에 해낼 수 있다는 비유.
마지막 항목이 ‘AI 해킹’이라는 표현의 출처에 가깝다. 사람이 하던 반복 작업을 도구가 대신하면 속도와 시도 횟수가 달라진다는 이야기이고, 특정 모델이 쓰였다고 확인된 것은 아니다. 금융당국도 “AI 활용 가능성”·”추정”이라는 표현을 쓰고 있다.
확인되지 않은 것을 확인된 것처럼 읽으면 대응이 엉뚱해진다. 지금 단계에서 분명한 것은 공격이 빠르고 집요했다는 것이지, 어떤 기술이 쓰였는지가 아니다.
피해가 갈린 지점은 고객 계정이 아니었다
이번 사안에서 눈여겨볼 대목은 들어온 길이다. 보도는 고객용 서비스의 보안만 보다가 직원·협력사 시스템이 뚫렸다고 전한다. 금융위의 조치 목록에서 “외부에 노출된 전산시스템 점검”과 “인증·접근통제 강화”가 앞에 온 것도 같은 방향이다.
이용자 입장에서 이 구분이 중요한 이유가 있다. 내 비밀번호가 약해서 생긴 일이 아니라면, 내가 비밀번호를 바꾸는 것만으로 막히지 않는다. 반대로 유출된 정보가 다른 곳에서 재사용되는 것은 내가 막을 수 있는 쪽이다. 계정을 지키는 층을 나누어 보는 순서는 계정 보안 설정의 네 겹에 정리해 두었다.
내 쪽에서 지금 할 수 있는 것
기관이 분석을 끝내기 전에도 이용자가 할 수 있는 일은 정해져 있다. 모두 유출 자체가 아니라 유출된 정보가 쓰이는 단계를 막는 쪽이다.
| 할 일 | 막는 단계 |
|---|---|
| 같은 비밀번호를 쓰는 곳부터 끊는다 | 한 곳에서 샌 조합이 다른 곳에서 그대로 시도되는 것 |
| 2단계 인증을 켠다 | 비밀번호가 맞아도 한 겹이 더 필요하게 만드는 것 |
| 로그인 알림을 켠다 | 새 기기 접속을 바로 알아차리는 것 |
| 금융사 안내문을 직접 확인한다 | 유출 통지를 사칭한 문자·전화에 걸리는 것 |
마지막 항목이 실제로는 가장 급하다. 큰 사고 뒤에는 그 사고를 빌미로 한 문자가 늘어난다. 받은 문자가 사칭인지 가리는 방법은 스미싱 문자 확인 순서에 있다.
금융권 해킹에서 지금 확인할 수 있는 것
수치와 조치 내용은 2026년 10월 5일 기준 공개 자료를 따른다. 개별 피해 여부와 보상은 해당 금융회사 안내로 확인해야 한다.
- 당국 문서에는 AI가 없다: 금융위 보도자료가 지시한 것은 원인·수법의 분석이다.
- 확인된 것은 조치다: 외부 노출 시스템 점검, 인증·접근통제 강화, 위협정보 공유, 체크리스트 제공.
- 들어온 길은 고객 계정이 아니었다: 직원·협력사 시스템 쪽이라고 보도됐다.
- 내 몫은 재사용을 막는 것: 비밀번호 재사용 끊기, 2단계 인증, 로그인 알림, 사칭 문자 확인.
‘AI 해킹’이라는 말이 설명해 주는 것은 왜 이렇게 빨랐나까지다. 이번 금융권 해킹의 그 뒤는 조사 결과가 나와야 알 수 있고, 그때까지 기다리지 않고 할 수 있는 것은 내 계정 쪽에 있다.
참고
- 금융위원회 보도자료 「최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다」(2026-10-02) — 긴급 상황대응 회의, 참석 기관, 피해 사례, 조치 네 가지 https://fsc.go.kr/no010101/87869
- 한국경제 2026-10-05 — 초유의 AI 해킹, 2금융권까지 덮쳤다 / 5대 은행, 보안에 순익의 1%만 투자 https://www.hankyung.com/feed/economy
- 다음 뉴스 경제 2026-10-05 — 「’고객용’ 보안만 살피다가 ‘직원·협력사’ 시스템에서 뚫렸다」, 「해커 1명이 1년 걸리는 침투·탈취, AI 에이전트는 하루 만에」, 「악성코드 없이 8개국 IP 이용 무차별 해킹, ‘중국어 AI’ 흔적 조사」 https://news.daum.net/economic