「全金融業全面檢查」1年後16家金融公司遭駭10萬筆外洩　當局對策又是老話

首爾

金融當局在樂天卡資料外洩後提出「全金融業金融資安與資訊保護全面檢查」1年多後，包括4家銀行在內的16家金融公司遭駭，約10萬筆個人資料外洩。韓國金融委員會14日下午3時在政府首爾辦公大樓由秘書長Shin Jin-chang主持召開「第2次緊急情況應變會議」，公布受害規模，並表示全金融業555家公司的自主檢查中，有130家通報未套用最新安全修補、未建置24小時監控等缺失。金融委員會當天再度提出全面檢查與強化執行長（CEO）責任作為對策，但表示檢查範圍與時程將「與金融業協商」決定。1年前樂天卡事故時，金融委員會曾表示將管理監督「全額補償等樂天卡的消費者保護措施」，但14日的對策資料中沒有出現「補償」一詞。

承諾「全金融業全面檢查」1年多後16家遭攻破

金融委員會2025年9月18日由副主委Kwon Dae-young主持召開樂天卡資料外洩緊急對策會議。金融委員會當天以「全金融業金融資安與資訊保護全面檢查及根本性制度改善」為課題，表示「也將立即著手緊急檢查金融業資安管理態勢，以及電腦資安相關的根本性制度改善」。Kwon Dae-young要求金融公司「在CEO責任下全面重新檢查電腦系統與資訊保護體系」，並警告「將資安投資視為成本或額外工作的安逸態度，可能導致嚴重事態」。金融委員會表示將「在發生重大資安事故時，導入超越一般罰款水準的懲罰性罰款」。

1個月後的2025年10月22日，科學技術資訊通信部與相關部會共同發表「跨部會資訊保護綜合對策」。副總理兼科學技術資訊通信部長官Bae Kyung-hoon進行簡報，金融委員會秘書長Shin Jin-chang也一同出席。政府表示「將立即推動對公共、金融、通訊等多數國民使用的1600多個IT系統進行大規模資安漏洞檢查」。「強化CEO責任與CISO角色」、「導入懲罰性罰款」也納入對策。

此後不到1年，2026年9月30日金融當局接獲新韓銀行入侵事故通報。10月2日金融委員會的資料寫道，「對國民銀行等主要金融公司的網路攻擊造成了額外損害」。金融委員會14日公布的受害公司為銀行4家（新韓、國民、釜山、韓亞）、儲蓄銀行4家（Yegaram、Welcome、DB、OK）、信用專業金融公司2家（現代Capital、產銀Capital）、線上投資連結金融業者2家（PFCT、Mouda）、電子金融業者1家（Brightfix）、虛擬資產業者2家（Streami、Prabang）、互助金融1家（新村金庫中央會），共7個業別16家。金融委員會表示「資料外洩規模掌握為約10萬筆（姓名、聯絡方式、居民登錄號碼、電子郵件等）水準」，並表示調查過程中受害公司可能進一步增加。

新韓銀行事故通報後的兩週內，當局資料上列出的受害公司持續增加。10月2日資料中具名的是新韓銀行與國民銀行，4日金融委員長主持的會議資料則未具名地寫明通報遭入侵的主要金融公司為7家。到14日的資料變成16家。

130家金融公司連安全修補、24小時監控等基本功都欠缺

這次事態後金融當局推出的第一項檢查，不是金融監督院的現場檢查，而是金融公司的自主檢查。當局以10月2日會議為契機發放12項檢查清單，10月8日前有555家提交結果。金融委員會表示「檢查結果，共425家提交『適當』，130家通報存在缺失」。占檢查對象的23.4%。

缺失包括「未套用最新安全修補」、「原廠技術支援終止（EOS : End of Support）系統管理不善」、「未建置即時（24小時）監控體系」、「攻擊面管理不善」。金融委員會舉出攻擊面管理不善的例子為「對外系統缺少認證與授權、重要服務未導入強化認證程序（MFA）」。金融委員會表示「在資安能力相對較弱的電子金融業、線上投資連結金融業部門發現了較多缺失」。

安全修補問題是金融委員會5個月前親自指出的課題。金融委員會2026年5月22日召開「高效能AI相關金融業資安威脅因應座談會」，表示將在6月內制定AI資安指引。並表示指引將納入「電腦資源分類標準、▲程式修補優先順序等實務標準」。中小型金融公司等當時建議「請告知優先順序，讓我們能先套用急迫的安全修補」。5個月後的自主檢查中，「未套用最新安全修補」名列主要缺失之首。

金融委員會稱「已多次要求」　指金融公司未遵守基本規範

金融當局說明，事故發生後立即展開因應。據金融委員會表示，金融監督院與金融保安院在9月30日接獲新韓銀行事故通報當天即展開現場調查，目前仍在調查入侵途徑與攻擊手法。當局已將攻擊者IP分享給全金融業，並接連召開10月2日與14日由秘書長主持的會議，以及4日由金融委員長Lee Eog-weon主持的金融委員會與金融監督院聯合「全金融業緊急檢查會議」。14日會議還有科學技術資訊通信部、行政安全部、個人資訊保護委員會、警察廳、韓國網路振興院（KISA）出席。

Shin Jin-chang 14日指出，「過去以樂天卡資料外洩、Mythos衝擊等各種契機，多次要求全面檢查與加強管理，但仍發現金融公司未能妥善遵守基本部分的案例，令人非常痛心」。他表示，「金融領域比任何事都更重視信任與安全，因此為預防資安事故，徹底的資安管理不可或缺」。Lee Eog-weon 4日表示，「全金融業應以此次事態為契機，以非常的決心與最高程度的警覺，從原點重新檢查資訊安全體系整體，並將資安水準提升一個層級」。

金融委員會將「成為近期入侵事故原因的貸款招攬人、委外業者等外部人員」所使用的系統指為攻擊途徑。金融委員會指示「除提供消費者服務、執行業務不可或缺的情況外，原則上全面封鎖外部存取」，並表示在已分享攻擊資訊的情況下若「發生類似入侵事故，將依相關法令嚴正因應」。

若照Shin Jin-chang的說法，當局在樂天卡事故與Mythos衝擊時曾一再要求全面檢查。即便如此，在2026年10月的自主檢查中，555家中仍有130家自行通報未具備修補與監控等基本項目。檢查方式也改變了。2025年9月金融委員會曾表示將「立即啟動金融監督院對所有信用卡公司資安實況的檢查」，但2026年10月事態後的首次全金融業檢查，是由金融公司填寫檢查清單提交的自主檢查。

1年前對策與14日對策在「CEO責任、全面檢查、制度改善」上原樣重疊

金融委員會14日推出的四大類對策，與1年前的措辭大幅重疊。第一項是全面資安檢查。金融公司必須「將電腦系統與外部連接的所有接點列表化、更新現況」，當局則表示將指導監督金融公司「也明確CEO、CISO、CIO等的報告體系與責任範圍」。2025年9月金融委員會要求的是「在CEO責任下」對資訊保護體系整體進行「全面重新檢查」，同年10月的跨部會對策則納入「強化CEO責任與CISO角色」。

強化制裁也再次出現。金融委員會14日表示「也計畫儘速推動強化CEO責任及提升制裁實效等各種制度改善方案」。2025年9月承諾的是「懲罰性罰款」，10月跨部會對策則承諾「調高罰鍰與罰款，導入履行強制金及懲罰性罰款」。1年後，同樣的事項再度以「計畫推動」的形式出現。21日金融委員會通過的新罰款標準中，信用資訊法規定的法定課徵上限仍原則上記載為總營收的3%。

2025年10月的跨部會對策表示將「立即推動」包括金融在內「1600多個IT系統」的資安漏洞檢查。1年後的2026年10月14日，金融委員會再度提出全面檢查，並表示「具體的檢查範圍與時程」將與金融業協商後「迅速確定」。

新對策沒有時限　停留在「儘速」與「檢討」

14日新聞稿中標有日期的時程，只有已結束的檢查清單檢查截止日（10月8日）一項。今後要做的事全都沒有時限。

在威脅早期偵測方面，AI威脅等級資訊體系是「計畫儘速建立」，AI資安漏洞檢查基礎設施則表示「也將推動建置」。在常態監理方面，將推動把目前每年1次（對外網站每年2次）的金融公司漏洞檢查與評估，僅限大型公司「擴大為每年2次以上」，當局隨時檢查的法源依據則是「預定檢討、推動」。在支援中小型公司方面，金融保安院將與各業別協會、中央會共同「檢討」建置AI共同資安監控系統。對於不適用電子金融交易法的貸款業與保險法人保險代理商（GA），表示將「儘速檢討、推動」資安強化方案。

10月2日首次會議時，金融委員會也僅表示將「讓其儘早提交、報告」自主檢查結果。檢查於8日結束，到14日確認的受害公司增至16家。

5月推出網路隔離鬆綁與修補故障免責　21日調降輕微違規罰款

在因應駭客攻擊的同時，當局也持續推出放寬規管方向的措施。5月22日座談會上，金融委員會表示「將迅速推動針對資安目的AI運用放寬網路隔離規管」，決定總資產10兆韓元以上、常時員工1,000人以上的49家金融公司提出申請後，可在1年內限時放寬規管。對具備高度能力的金融公司，則表示「也計畫檢討、推動全面解除網路隔離規管的方案」。對於安全修補過程中產生的輕微電腦故障，表示將「以迅速復原及消費者保護措施為前提，推動減輕或免除制裁」。Kwon Dae-young當時表示，「高效能AI資安威脅就像感冒病毒，不是能完全阻斷的對象，而是必須與之共存並加以管理的威脅」。Shin Jin-chang 14日也表示，「也將更縝密、更有速度地推動放寬網路隔離規管等制度改善」。

21日第18次例行會議通過的「信用資訊業監督規定」修正案將於23日施行。原本分為50%、75%、100%三個等級的課徵基準率，改為輕度違規1~30%、重大違規30~65%、極重大違規65~100%的連續區間。金融委員會舉出的例子是營收7兆韓元、本期淨利7,000億韓元的假設金融公司。重大性分數1.2分的「重大性輕微的違規」，基本罰款從過去的1,050億韓元（基準率50%）降至210億韓元（基準率10%），變為五分之一。重大性分數2.5分的案例，在新標準下以75%基準率算出1,575億韓元後，加上25%的加重部分525億韓元，與過去同為2,100億韓元。

金融委員會說明，3年內重複相同違規，或1千萬人以上受害的大規模外洩，可加重至基本罰款的100%。自主強化個人信用資訊保護與迅速執行消費者保護對策，則擴大為減輕事由。此次16家、約10萬筆外洩，遠未達1千萬人的加重標準。過渡措施依行政基本法第14條，修正前的違規適用違規當時的規定，但若修正規定較為有利，可適用修正規定。金融委員會說明，透過透明公開罰款標準提高了可預測性。

損害補償措辭從「管理監督全額補償」退到「有必要盡最大努力」

2025年9月樂天卡事故時，金融委員會資料將「因入侵事故發生盜用時全額先行補償」列為樂天卡的措施，金融委員會並表示將「縝密管理監督」「發生相關損害時全額補償等樂天卡的消費者保護措施」。同年10月的跨部會對策表示「若因企業資安疏失發生駭客攻擊，將減輕消費者的舉證責任負擔」，並「檢討新設基金」將罰款收入用於支援受害者。

在這次事態中，補償措辭弱化了一個層級。10月4日的會議資料針對發生入侵事故的金融公司寫道，「確認消費者受害時，有必要向消費者通知詳細資訊，並盡最大努力讓損害救濟、補償等能迅速且順利進行」。公布16家、約10萬筆受害的14日對策資料中，「補償」與「損害救濟」等詞一次也沒有出現。

當局將重點放在阻斷二次受害。6日以「注意」等級發布消費者警報2026-26號，並將6日起的1個月訂為「個資外洩二次受害特別因應期間」。當局指示金融公司設置專責諮詢窗口並強化異常交易偵測系統（FDS）。當局表示，「截至目前，尚未確認與此次金融公司個資外洩事故相關、因電話詐騙等損害導致客戶資金流失的案例」。根據當局說明，外洩資料包含居民登錄號碼，但密碼與一次性密碼（OTP）並未外洩。

當局介紹的受害預防手段，大多是消費者必須自行申請的服務。授信交易、非面對面開戶、開放銀行的安心封鎖服務，截至8月底約有700萬人（可重複加入）加入，金融監督院FINE（fine.fss.or.kr）的個資曝光者事故預防系統也須本人登記。當局表示，金融業詐騙可疑資訊共享平台ASAP自2025年10月啟用至2026年8月，已暫停7,666個可疑帳戶的支付，阻止約699億4千萬韓元的損害。

資料來源（KST）

• 金融委員會 · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• 金融委員會 · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• 金融委員會 · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• 金融委員會 · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• 金融委員會 · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• 金融委員會 · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• 大韓民國政策簡報（科學技術資訊通信部等相關部會） · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• 金融委員會 · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319