본체가 아닌 외곽이 뚫렸다: 금융권 연쇄 해킹의 인사이트

9월 말부터 국내 금융권에서 해킹에 따른 정보유출이 잇따라 확인되었습니다. 피해는 시중은행과 지방은행에서 저축은행과 캐피탈사로 번졌고, 금융당국은 7개사의 침해 사고에서 동일한 공격자의 IP를 여러 곳에서 확인했습니다. 조사와 수사는 진행 중이며, 이 글은 10월 9일 현재 보도된 내용에 근거합니다.

어떻게 발견되었는가

시작은 9월 30일 S은행에서 고객 약 2만 5,000명의 정보가 유출된 사고였습니다. 이어 K은행에서 119명, H은행에서 89명의 정보가 유출되었고, B은행에서는 외주 개발직원 11명의 정보가 노출되었습니다. 2금융권에서는 Y저축은행 약 4만 건, H캐피탈의 주택대출 모집인 146명, W저축은행의 법인고객 정보 유출이 확인되었습니다. 인터넷·모바일뱅킹 등 대고객 서비스에 대한 영향이나 금전 피해는 없는 것으로 파악되었습니다.

눈여겨볼 것은 발견의 경위입니다. H캐피탈은 9월 27일 시작된 공격이 끝난 뒤, 금융보안원의 협조로 해킹 IP의 접근 이력을 확인하던 10월 2일에야 사고를 인지했습니다. 일부 금융사는 공격을 받은 뒤 금융보안원의 정보를 토대로 유출을 알아차렸습니다. 한 인터넷전문은행은 올해 1월에도 같은 IP 일부의 비정상적 접근 시도가 있었던 것을 뒤늦게 파악했습니다. 스스로 찾아낸 것이 아니라, 남이 알려준 주소를 대조해 보고서야 알게 된 것입니다.

금융감독원은 공격 IP 33개(중복 제외 28개)를 특정하고, 약 500개 금융회사에 공격 IP와 수법을 공유하며 12개 항목의 보안 점검을 지시했습니다. 경찰은 28명 규모의 전담수사팀을 꾸려 수사에 착수했습니다.

원인은 무엇으로 추정되는가

첫째, 공격 대상이 달랐습니다. 고객이 직접 쓰는 인터넷·모바일뱅킹보다 대출모집인 조회 서비스나 직원용 업무지원시스템이 주된 표적이 되었습니다. 정문은 견고했으나 쪽문이 열려 있었던 셈입니다.

둘째, 허점은 새롭지 않았습니다. 금융당국은 사고를 세 유형으로 분류했습니다. 정보조회 서비스는 본인 확인을 거치지 않고도 대출신청 내역 등을 조회할 수 있도록 잘못 개발되어 있었습니다. 직원 업무지원 서비스는 모바일 단말기 접근통제가 누락되었거나, 권한 없이 접근할 수 있는 웹 취약점이 조치되지 않았습니다. 홈페이지 서비스는 이미 알려진 취약점을 통해 악성코드가 설치되고, 고객정보가 담긴 로그파일이 탈취되었습니다.

셋째, 달라진 것은 속도와 규모입니다. 공격자는 AI 도구를 활용해 다수 금융사를 상대로 대량의 자동화된 공격을 한 것으로 추정되며, IP를 바꾸어 가며 공격을 이어갔습니다. 보안업계에서는 중국어 기반 AI 침투테스트 도구의 흔적을 근거로 중국발 가능성을 제기하나, 금융당국은 공격 주체나 특정 국가와의 연관성을 확인하지 않았습니다. IP는 여러 국가에 분산되어 있고 우회 접속 가능성이 있어 소재지만으로 주체를 단정하기 어렵습니다.

정리하면, AI가 새로운 문을 만든 것이 아니라 오래 열려 있던 문을 빠르게 찾아낸 것입니다. S은행은 2024년 인증 우회 취약점을 점검하고 조치했다고 공시했으나 이번 사고를 막지 못했습니다. 반면 5대 은행이 모두 공격을 받았음에도 결과가 달랐던 까닭으로는 외곽 시스템의 인증과 접근권한 관리 방식이 지목됩니다. 피해를 가른 것은 첨단 장비가 아니라 기본기였습니다.

협력사, 중소기업에 드리는 조언

이번 사고는 금융회사만의 일이 아닙니다. 뚫린 곳은 대출모집인 조회 서비스였고, 유출된 것 가운데에는 모집인과 외주 개발직원의 정보가 있었습니다. 협력사는 공격의 통로이자 피해의 당사자입니다. 금융회사의 점검이 끝나면 그 다음 차례는 협력사일 가능성이 높습니다.

첫째, 밖에서 보이는 자산의 목록부터 만드시기 바랍니다. 홈페이지, 관리자 페이지, 테스트 서버, 금융회사와 연동된 조회 화면과 API를 빠짐없이 적고, 쓰지 않는 것은 닫아야 합니다. 목록에 없는 자산은 지킬 수도 없습니다.

둘째, 인증 없이 열리는 조회 경로를 없애야 합니다. 번호나 식별값만 넣으면 정보가 나오는 화면이 있는지 확인하고, 반복 조회를 제한하는 장치를 두어야 합니다. 자동화된 공격은 지치지 않고 값을 대입합니다.

셋째, 계정과 단말을 통제해야 합니다. 금융회사 시스템에 접속하는 계정은 공유하지 말고, 추가 인증을 적용하며, 퇴사자와 종료된 프로젝트의 계정은 즉시 회수해야 합니다.

넷째, 알려진 취약점은 미루지 말고 조치해야 합니다. 이번에도 이미 공개된 취약점이 통로가 되었습니다. 아울러 로그파일에 고객정보가 남지 않도록 점검하시기 바랍니다.

다섯째, 보유한 정보를 줄여야 합니다. 업무가 끝난 고객정보와 주민등록번호는 파기해야 합니다. 가지고 있지 않은 정보는 유출되지 않습니다.

여섯째, 사고가 났을 때의 절차를 미리 정해 두어야 합니다. 누가 판단하고, 어느 기관과 어느 거래처에 언제까지 알릴 것인지를 문서로 정리하고, 접속기록을 보관해 스스로 사고를 확인할 수 있어야 합니다. 위수탁 계약서의 보안 조항과 통지 의무, 손해배상 조항도 다시 읽어 보시기 바랍니다.

보험도 점검 대상입니다. 개인정보 손해배상책임 보장 의무의 적용 대상인지 확인하고, 사이버보험이 사고 조사와 통지 비용, 배상책임을 어디까지 담보하는지 살펴야 합니다. 다만 기본적인 보안 조치가 없는 기업은 인수 자체가 어렵거나 보상에서 다툼이 생길 수 있습니다. 보험은 보안의 대체물이 아니라 그 다음 단계입니다.

맺으며

수백억 원의 보안 예산을 쓰는 은행도 변두리의 작은 화면 하나에서 무너졌습니다. 그렇다면 묻지 않을 수 없습니다. 우리 회사에는 인증 없이 열리는 문이 몇 개나 있겠습니까. 공격자는 이미 그 문을 세고 있습니다.

참고: 2026년 10월 초 금융당국 발표 및 주요 언론 보도

사이버 사고의 진짜 약점은 여전히 '사람'

처서가 지난 지 벌써 일주일이 지났지만, 체감으로는 여전히 한여름입니다. 여기에 비 소식까지 겹친다고 하니, 습하고 무더운 날씨가 조금 더 이어질 모양입니다. 이런 날씨에는 몸도 마음도 쉽게 지치고, 평소라면 하지 않을 실수를 하기도 쉽습니다. 건강 관리는 물론, 업무에서도 작은 방심이 큰 사고로 이어지지 않도록 한 번 더 주의를 기울이셔야 할 때입니다.

오늘은 바로 그 '작은 방심'에 관한 이야기를 나눠보려 합니다.

AI 시대에도, 사고의 시작점은 여전히 사람입니다

최근 사이버보험사 Resilience가 발표한 2026년 상반기 보고서 하나가 눈길을 끌었습니다. 핵심은 이렇습니다. 올해 상반기 발생한 사이버 손실보험금 청구 중 85% 이상이 피싱, 소셜 엔지니어링, 송금 사기 등 '사람의 실수'를 악용한 공격에서 비롯되었다는 것입니다. 이 비중은 2024년 상반기 17.7%에 불과했는데, 불과 2년 만에 85.3%까지 치솟았습니다. 다섯 개 반기 통계 중 가장 가파른 증가세라고 하니, 결코 가볍게 볼 수 없는 흐름입니다.

물론 AI가 손을 놓고 있는 것은 아닙니다. 오히려 보고서는 AI를 공격의 '파괴력을 키우는 요인'으로 지목합니다. 공격자들은 이메일 문구를 다듬고, 음성을 흉내 낸 딥페이크로 송금 승인 전화를 가로채는 등, AI를 활용해 소셜 엔지니어링을 한층 더 정교하게 다듬고 있습니다. 실제로 올해는 사람의 개입 없이 완전 자율로 작동한 랜섬웨어 공격 사례, AI가 단독으로 타사 시스템을 침해한 사례까지 처음으로 확인되었고, IBM 조사에서는 AI 기반 공격이 전년 대비 56% 증가하며 평균 유출 비용이 약 499만 달러까지 올라간 것으로 나타났습니다.

그럼에도 불구하고 여전히 대다수의 실제 손실은, 사람이 클릭 한 번을, 전화 한 통을, 이체 승인 한 번을 잘못 판단하면서 시작되고 있습니다. AI는 위협을 더 정교하게 만드는 '증폭기'일 뿐, 아직까지 결정적인 '방아쇠'는 사람이 당기고 있는 셈입니다.

손실의 구조도 함께 바뀌고 있습니다

흥미로운 대목이 하나 더 있습니다. 랜섬웨어로 인한 갈취는 전체 청구 건수의 5.8%에 불과하지만, 발생 손실액으로는 73%를 차지할 만큼 여전히 압도적입니다. 다만 그 '방식'이 달라지고 있습니다. 과거에는 시스템을 암호화한 뒤 복호화 키를 대가로 요구하는 방식이 주를 이뤘다면, 이제는 데이터를 탈취해 다크웹 유출을 빌미로 금품을 요구하는 '데이터 유출 협박형'이 대세가 되었습니다.

이 변화 덕분에 청구 건당 평균 손실액은 2025년 상반기 78만 4천 달러에서 2026년 상반기 47만 달러로 오히려 낮아졌습니다. 백업 체계가 견고해지고 에어갭이 자리를 잡으면서, 시스템이 통째로 마비되는 최악의 상황은 줄어든 것으로 풀이됩니다. 다만 개인정보나 기업 기밀이 유출될 경우의 평판 리스크와 법적 책임은 여전히 별개의 문제로 남아 있다는 점은 짚어드리고 싶습니다.

보험 프로그램, 이렇게 점검해보시길 권합니다

이번 보고서가 시사하는 바는 명확합니다. 기술적 방어선 못지않게, '사람'을 겨냥한 통제 체계와 보험 담보의 정합성을 다시 살펴볼 시점이라는 것입니다.

• 소셜 엔지니어링·송금 사기 담보 확인: 사이버배상책임보험(Cyber Liability) 약관상 피싱, 딥페이크를 이용한 송금 사기(Social Engineering Fraud, Funds Transfer Fraud)가 명시적으로 담보되는지, 별도 서브리밋이나 공제금액이 과도하게 설정되어 있지는 않은지 점검이 필요합니다.
• 데이터 유출 협박(갈취) 대응 체계: 랜섬웨어 담보 안에서도 시스템 암호화형과 데이터 유출 협박형에 대한 대응 비용(포렌식, 협상, 통지 비용 등)이 균형 있게 설계되어 있는지 확인해보시기 바랍니다.
• 임직원 대상 훈련의 실효성 재점검: 딥페이크 음성, AI가 작성한 정교한 피싱 메일이 늘어나는 만큼, 기존의 형식적인 보안 교육이 실제 방어력으로 이어지고 있는지 재검토가 필요한 시점입니다.
• 벤더 리스크 비중 변화 참고: 최근 통계상 벤더발 손실 비중은 크게 줄었지만, 이는 언제든 다시 반등할 수 있는 영역인 만큼 협력사 보안 수준에 대한 모니터링은 계속 유지하시길 권합니다.

날씨도 그렇지만, 리스크의 얼굴도 계속 바뀌어갑니다. 기술이 아무리 발전해도 결국 마지막 문을 여는 것은 사람의 판단이라는 사실은 변하지 않는 듯합니다. 다음 편지에서는 이번 통계에서 드러난 랜섬웨어 손실 구조 변화를 조금 더 깊이 들여다보고, 컴플라이언스와 내부통제 관점에서 무엇을 준비해야 할지 이야기해보겠습니다.

가장 튼튼한 자물쇠도, 옆집 문이 열려 있으면 소용없다"

며칠째 장마전선이 남쪽으로 밀려나고 나니, 이번엔 후텁지근한 열기가 그 자리를 채우고 있습니다. 창문을 열어도 바람 한 점 들어오지 않는 날들이 이어지는데요, 눈에 보이지 않지만 서서히 실내 온도를 끌어올리는 무더위처럼, 요즘 기업들을 압박하는 사이버 리스크도 딱 그런 모양새로 다가오고 있는 듯합니다. 어느 한 순간 갑자기 터지는 사고라기보다, 벤더와 협력사, 클라우드와 SaaS 시스템 곳곳에서 열기가 조금씩 쌓이다 임계점을 넘는 방식으로요.

AI가 무기가 되는 동시에 방패가 되는 시대

지난주 로이터發 Claims Journal 보도를 접하고 잠시 손을 멈췄습니다. 코카콜라 산하 유제품 기업 페어라이프(Fairlife)가 제3자 시스템 무단접근을 이유로 미국 내 생산을 일시 중단했다는 소식이었는데요, 마침 같은 주 백악관이 AI 개발기업과 핵심 인프라 운영기관 간 사이버 취약점 정보 공유 협의체 출범을 발표했다는 대목이 눈에 들어왔습니다. 공격이 AI로 고도화되는 동시에, 방어 측에서도 AI를 정책 차원의 대응 수단으로 끌어올리고 있다는 뜻이겠지요.

올 1월부터 7월까지 집계된 18건의 주요 사고를 유형별로 들여다보면 흐름이 더 뚜렷해집니다.

• 랜섬웨어·데이터 탈취형: Nike(1.4TB 유출), Crunchyroll(680만 건 이메일 유출), Wynn Resorts(비트코인 150만 달러 요구) 등 금전 갈취와 운영 중단이 결합된 전형적 패턴
• 국가배후·지정학 연계형: Stryker의 주문처리·제조·배송 시스템 마비 — 지정학적 긴장이 민간 제조업 공급망으로 곧장 전이된 사례
• 제3자·공급망 경유형: OpenAI, Rockstar Games, Instructure Canvas, Novo Nordisk 등 다수 — 전체 18건 중 6~7건으로 가장 큰 비중을 차지합니다
• 사회공학형: Blank Rome(IT부서 사칭으로 변호사 기망), Carnival(직원 계정 탈취) — 기술보다 사람이 취약점이라는 점을 다시 확인시킵니다
• 인프라 취약점 대량 악용형: Fortinet 방화벽·VPN 장비 약 7만 5천 대 동시 침해 — 단일 벤더 의존이 곧 집적리스크(Accumulation Risk)로 직결된 사례
• 제조·물류 중단형: West Pharmaceutical Services, Stryker, Hasbro, 그리고 이번 fairlife까지 — 데이터 유출을 넘어 생산라인 자체가 멈춰 서며 기업휴지(BI) 손실이 현실화되고 있습니다

보험 프로그램에서 짚어볼 지점

1. 벤더 실사가 언더라이팅의 중심으로: 제3자·공급망 경유형 사고가 절반에 가까운 비중을 차지하는 만큼, Cyber 및 Tech E&O 심사에서 벤더 실사(Vendor Due Diligence)와 제3자 접근권한 관리 수준을 별도 평가 항목으로 반영해야 할 시점입니다. Fortinet 사례처럼 단일 벤더 제품의 광범위한 사용은 포트폴리오 차원의 집적리스크 관리 모델을 다시 들여다보게 합니다.

2. 국내 기업 익스포저 점검: 미국 소재 자회사, SaaS 벤더, 클라우드 인프라를 통해 국내 제조·헬스케어·게임·소비재 기업들도 동일한 유형의 노출에 놓여 있습니다. 특히 West Pharmaceutical Services·Stryker형 제조라인 마비 사고는 국내 제약·의료기기·완성차 협력업체의 Non-Damage BI 및 기업휴지 담보 설계 시 참고할 만한 사례입니다.

3. D&O 언더라이팅과 이사회 책임: 사회공학형 사고 비중이 높다는 점은, 개인정보보호법상 과징금·집단소송 리스크가 국내에서도 유사한 패턴으로 재현될 수 있음을 시사합니다. 이사회의 사이버 거버넌스 감독 책임 여부가 D&O 심사 항목에서 더 무거워질 가능성을 염두에 두시면 좋겠습니다.

결국 올해 상반기 사이버 사고 동향이 말해주는 것은, 방어선이 더 이상 자사 방화벽 안쪽에 머물러서는 안 된다는 점입니다. 벤더 생태계 전체의 보안 성숙도까지 시야를 넓혀야 할 때입니다.

대규모 사이버공격 사건들 돌아보기

한 해의 결실을 돌이켜보고 다가올 미래를 구상하는 12월이 찾아왔습니다. 매서운 겨울바람과 함께 찾아오는 연말은 조직의 인프라를 점검하고 보안 전략을 고도화하기에 가장 적절한 시기입니다. 2025년 한 해 동안 발생한 대규모 사이버공격 사건들은 기술적 고도화와 공급망의 취약점을 결합한 위협이 얼마나 파괴적일 수 있는지를 여실히 증명하였습니다. 올 한 해의 주요 보안 사고 사례를 체계적으로 복기하고, 이를 통해 확보해야 할 전략적 인사이트를 공유하고자 합니다.

올해 발생한 가장 파괴적인 사고 중 하나는 영국의 자동차 제조사 재규어랜드로버가 겪은 가동 중단 사태였습니다. 공격자들은 기업용 소프트웨어의 취약점을 악용하여 제조 네트워크 깊숙이 침투하였으며, 이로 인해 공장 생산 라인이 수 주간 전면 중단되는 초유의 피해가 발생하였습니다. 이는 단순한 데이터 유출을 넘어 공급망 마비와 천문학적인 경제적 손실로 이어진 대표적인 사례로, 산업 제어 시스템과 정보기술 환경의 통합이 가져온 위험성을 극명하게 보여주었습니다.

국내 유통 분야에서도 전례 없는 규모의 보안 사고가 기록되었습니다. 한국 최대의 이커머스 플랫폼인 쿠팡에서 내부 인증 시스템의 관리 미흡을 틈타 3,370만 명에 달하는 고객 데이터가 장기간 탈취되는 사건이 발생하였습니다. 전직 직원의 접근 권한 관리 실패와 유출 인지 지연이 겹치면서 피해 규모가 걷잡을 수 없이 커졌으며, 경영진 사임과 막대한 기업 가치 하락으로 이어졌습니다. 또한 유통 플랫폼인 GS리테일의 GS25와 GS샵에서도 다른 곳에서 유출된 계정 정보를 무작위로 대입하는 크리센셜 스터핑 공격이 연쇄적으로 발생하여 총 160만 건 이상의 회원 정보가 노출되었습니다.

이러한 일련의 사건들이 제시하는 보안 인사이트는 매우 명확합니다.

첫째, 공급망과 내부 인력에 대한 강력한 내부 통제 및 제로 트러스트 아키텍처의 확립입니다. 퇴사자나 파트너사의 접근 권한을 지속적으로 검증하지 않는다면 외부의 강력한 방화벽은 무용지물이 됩니다. 내부망에 진입한 그 어떤 주체도 신뢰하지 않고 끊임없이 인증하는 체계로의 전환이 시급합니다.

둘째, 사용자 계정 중심의 능동적인 방어 체계 구축입니다. 다중 인증 도입은 물론이고, 봇을 통한 자동화된 대량 로그인 시도를 실시간으로 탐지하고 차단하는 이상 징후 분석 시스템이 비즈니스 운영 보안의 핵심으로 자리 잡아야 합니다.

셋째, 신속한 탐지와 투명한 거버넌스의 확립입니다. 공격을 완벽히 막을 수 없다면 유출 발생 시 이를 실시간에 가깝게 인지할 수 있는 가시성을 확보해야 하며, 사고 발생 후 적시 대응과 투명한 공개를 통해 이해관계자의 신뢰 붕괴를 최소화해야 합니다.

지나온 보안 사고의 기록은 단순한 실패의 흔적이 아니라 더 견고한 내일을 구축하기 위한 가장 확실한 이정표입니다. 올 한 해의 위기를 교훈 삼아 다가오는 새해에는 한층 복원력 높은 보안 태세를 확립하시기를 바라며, 안전하고 평온한 연말을 보내시기 바랍니다.