가상화폐거래소·캐피털까지 번진 해킹, 피해 금융사 16곳 확인

은행에 돈을 맡기면서, 그 정보가 안전할 거라고 믿는 이유는 뭘까요.

같은 뉴스, 네 가지 시선. AILENS입니다. 2026년 10월 14일, 금융위원회가 발표한 내용을 기준으로 이야기를 시작합니다.

지난 12일, 산은캐피탈 홈페이지에 안내문이 하나 올라옵니다. 외부에서 비정상적인 방식으로 시스템에 접근한 정황이 발견됐다는 내용입니다.

고객 848명의 성명, 주민등록번호, 생년월일이 노출됐습니다. 캐피털사 하나에서 벌어진 일입니다.

이 일이 시작은 아니었습니다. 은행권에서 처음 포착된 해킹 피해가, 가상화폐거래소와 캐피털사로 번진 겁니다. 침해사고가 확인된 금융사는 열여섯 곳으로 늘었습니다. 시중은행부터 저축은행, 여신전문금융사, 상호금융, 온라인투자연계금융업체까지 업권을 가리지 않았습니다.

이번 발표로 새로 알려진 곳은 다섯 곳입니다. DB저축은행, 산은캐피탈, 브라이트픽스, 스트리미, 프라뱅. 스트리미는 원화 가상화폐거래소 고팍스를 운영하는 회사고, 프라뱅도 가상화폐거래소를 운영합니다. 브라이트픽스는 결제 서비스를 제공하는 전자금융업체입니다.

프라뱅에서는 이용자 20명의 연락처와 주소가 유출됐습니다. 숫자는 산은캐피탈보다 작지만, 가상화폐거래소라는 점에서 성격이 다릅니다.

금융당국이 지금까지 집계한 유출 정보는 이름, 전화번호, 주민등록번호, 이메일 주소를 포함해 약 10만 건입니다. 다만 카드번호나 계좌 비밀번호처럼 결제에 직접 악용될 수 있는 정보는 유출된 것으로 확인되지 않았습니다.

다만 다른 측면도 있습니다. DB저축은행은 외부 공격을 보안시스템이 막아냈고, 고객 개인정보가 유출된 정황은 없다는 입장을 밝혔습니다. 같은 명단에 올랐지만, 결과는 회사마다 달랐던 겁니다.

여기서 짚어볼 대목이 하나 있습니다. 금융당국이 지난 8일까지 555개 금융회사를 대상으로 열두 개 항목을 자체 점검하도록 했습니다. 그 결과 백삼십 개 회사, 전체의 약 4분의 1 가까이가 보완할 사항이 있다고 보고했습니다.

이 중 전자금융업체와 온라인투자연계금융업체에서 상대적으로 많은 문제점이 나왔습니다. 금융당국이 수차례 전수점검과 관리 강화를 주문해온 영역이었습니다.

금융위원회 신진창 사무처장은 이 대목을 두고 "매우 뼈아픈 부분"이라고 말했습니다. 기본적인 부분조차 지켜지지 않는 사례가 발견됐다는 뜻입니다.

당국은 이제 외부 네트워크와 연결된 전산시스템을 모든 금융사가 빠짐없이 파악하도록 하고, 접속 권한과 인증절차, 내부 관리체계를 다시 들여다보기로 했습니다. 최고경영자와 최고정보보호책임자, 최고정보책임자가 보안 사안을 어떻게 보고받고 책임지는지도 구체화할 예정입니다.

대형 금융사는 정기 점검을 연 2회 이상으로 늘리고, 중소 금융사는 금융보안원과 업권별 협회가 공동으로 보안관제체계를 구축하는 방안도 검토됩니다. 신 사무처장은 "AI 공격은 AI로 방어"하는 체계를 세우기 위해 망분리 규제 완화 같은 제도개선도 속도감 있게 추진하겠다고 밝혔습니다.

다만 아직 끝난 이야기는 아닙니다. 금융사들이 이미 파악된 공격자 인터넷주소를 활용해 자체 조사를 계속하고 있어서, 침해사고 발생 업체 수와 피해 범위는 앞으로 달라질 수 있습니다. 열여섯 곳이 더 늘어날지, 10만 건이 더 커질지는 지금으로서는 알 수 없습니다.

정리하면, 오늘 핵심은 이겁니다. 은행에서 시작된 보안 사고가 가상화폐거래소와 캐피털사까지 번졌고, 그 과정에서 드러난 건 개별 사고가 아니라 금융권 전체의 보안관리 구조였다는 점입니다. 당국의 제도 개선이 어느 선까지 실제로 지켜질지는, 다음 점검 결과를 봐야 알 수 있을 것 같습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.