'전 금융권 전면점검' 1년 만에 금융사 16곳 뚫려 10만건 유출…당국 대책은 또 같은 말

서울

금융당국이 롯데카드 정보유출 뒤 "전 금융권 금융보안·정보보호 전면점검"을 내건 지 1년여 만에 은행 4곳을 포함한 금융회사 16곳이 해킹돼 약 10만건의 개인정보가 빠져나갔다. 금융위원회는 14일 오후 3시 정부서울청사에서 신진창 사무처장 주재로 「제2차 긴급 상황대응 회의」를 열어 피해 규모를 공개하고, 전 금융권 555개사 자체점검에서 130개사가 최신 보안패치 미적용·24시간 관제 미구축 같은 미흡사항을 보고했다고 밝혔다. 금융위는 이날 다시 전수점검과 최고경영자(CEO) 책임 강화를 대책으로 내놨지만, 점검 범위와 일정은 "금융권과 협의"해 정하겠다고 했다. 1년 전 롯데카드 사고 때 금융위는 "전액 보상 등 롯데카드의 소비자 보호 조치"를 관리·감독하겠다고 했지만, 14일 대책 자료에는 '보상'이라는 말이 나오지 않는다.

'전 금융권 전면점검' 약속 1년여 만에 16곳이 뚫려

금융위는 2025년 9월 18일 권대영 부위원장 주재로 롯데카드 정보유출 긴급 대책회의를 열었다. 금융위는 이날 "전 금융권 금융보안·정보보호 전면점검 및 근본적 제도개선"을 과제로 내걸고 "금융권 보안관리 태세 긴급점검, 전산보안 관련 근본적 제도개선도 즉시 착수한다"고 밝혔다. 권 부위원장은 금융회사들에 "CEO 책임하에 전산 시스템 및 정보보호체계 전반을 전면 재점검해 주시고"라고 요구했고, "보안투자를 비용이나 가외업무로 인식하는 안이한 태도가 심각한 사태를 초래할 수 있는 만큼"이라고 경고했다. 금융위는 "중대한 보안사고 발생시 일반적 과징금 수준을 뛰어넘는 징벌적 과징금을 도입"하겠다고 했다.

한 달 뒤인 2025년 10월 22일에는 과학기술정보통신부가 관계부처와 함께 「범부처 정보보호 종합대책」을 발표했다. 배경훈 부총리 겸 과학기술정보통신부 장관이 브리핑했고, 신진창 금융위 사무처장도 함께 나왔다. 정부는 "공공·금융·통신 등 국민 대다수가 이용하는 1600여 개 IT 시스템에 대해 대대적인 보안 취약점 점검을 즉시 추진한다"고 했다. "CEO 책임과 CISO 역할 강화", "징벌적 과징금 도입"도 대책에 들어갔다.

그로부터 1년이 채 안 된 2026년 9월 30일 금융당국은 신한은행 침해사고를 접수했다. 10월 2일 금융위 자료에는 "국민은행 등 주요 금융회사에 대한 사이버공격으로 추가 피해가 발생"했다고 적혔다. 14일 금융위가 공개한 피해 회사는 은행 4곳(신한·국민·부산·하나), 저축은행 4곳(예가람·웰컴·디비·오케이), 여신전문금융회사 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융업자 2곳(PFCT·모우다), 전자금융업자 1곳(브라이트픽스), 가상자산사업자 2곳(스트리미·프라뱅), 상호금융 1곳(새마을금고중앙회)이다. 7개 업권 16곳이다. 금융위는 "정보유출 규모는 약 10만건(성명, 연락처, 주민등록번호, 이메일 등) 수준으로 파악되었으며"라고 밝혔고, 조사 과정에서 피해 회사가 더 늘어날 수 있다고 했다.

신한은행 사고 접수 뒤 2주 동안 당국 자료에 오른 피해 회사는 계속 늘었다. 10월 2일 자료에 실명으로 나온 곳은 신한은행과 국민은행이었고, 4일 금융위원장 주재 회의 자료는 침해를 신고한 주요 금융회사를 이름 없이 7개사로 적었다. 14일 자료에서 16곳이 됐다.

금융사 130곳은 보안패치·24시간 관제 같은 기본기부터 빠져 있어

이번 사태 뒤 금융당국이 꺼낸 첫 점검은 금융감독원 현장검사가 아니라 금융회사 자체점검이었다. 당국은 10월 2일 회의를 계기로 12개 항목 체크리스트를 배포했고, 10월 8일까지 555개사가 결과를 냈다. 금융위는 "점검결과 총 425개사는 '적정'으로 제출하였고, 130개사는 미흡사항이 있음을 보고하였다"고 밝혔다. 점검 대상의 23.4%다.

미흡사항은 "최신 보안패치 미적용", "제조사 기술지원 종료(EOS : End of Support) 시스템 관리 미흡", "실시간(24시간) 관제체계 미구축", "공격표면 관리 미흡"이었다. 공격표면 관리 미흡의 예로 금융위는 "대외시스템 대상 인증·인가 누락, 중요 서비스에 대한 강화된 인증절차(MFA) 미도입"을 들었다. 금융위는 "상대적으로 보안역량이 약한 전금업·온투업 부문에서 비교적 많은 미흡사항이 발견되었다"고 했다.

보안패치 문제는 금융위가 다섯 달 전 직접 짚은 과제였다. 금융위는 2026년 5월 22일 「고성능 AI 관련 금융권 보안위협 대응 간담회」를 열고 6월 중 AI 보안 가이드라인을 마련하겠다고 밝혔다. 가이드라인에는 "전산자원 분류기준, ▲프로그램 패치 우선순위 등 실무기준"을 담겠다고 했다. 중소형 금융회사 등은 당시 "시급한 보안패치부터 적용할 수 있도록 우선순위를 알려주고"라고 건의했다. 다섯 달 뒤 자체점검에서 "최신 보안패치 미적용"이 주요 미흡사항 첫머리에 올랐다.

금융위는 "수차례 주문했다"며 금융회사의 기본 미준수를 짚어

금융당국은 사고 직후부터 대응에 나섰다고 설명했다. 금융위에 따르면 금감원과 금융보안원은 9월 30일 신한은행 사고를 접수한 당일 현장조사에 들어갔고, 지금도 침해 경로와 공격 방식을 조사하고 있다. 당국은 공격자 IP를 전 금융권에 공유했고, 10월 2일과 14일 사무처장 주재 회의, 4일 이억원 금융위원장 주재 금융위·금감원 합동 「全(전)금융권 긴급 점검회의」를 잇달아 열었다. 14일 회의에는 과기정통부, 행정안전부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원(KISA)도 참석했다.

신진창 사무처장은 14일 "그간 롯데카드 정보유출, 미토스 쇼크 등 다양한 계기로 수차례에 걸쳐 전수점검과 관리 강화를 주문했음에도, 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분"이라고 지적했다. 신 사무처장은 "금융분야는 그 무엇보다 신뢰와 안전이 중요한 만큼, 보안사고 예방을 위한 철저한 보안관리가 필수적이다"라고 말했다. 이억원 위원장은 4일 "全(전)금융권은 이번 사태를 계기로 비상한 각오와 최고 수준의 경각심을 갖고 정보보안 체계 전반을 원점에서 재점검하고 보안수준을 한 단계 높여야 한다"고 했다.

금융위는 공격 통로로 "최근 침해사고의 원인이 된 대출모집인·위탁업체 등 외부인력"이 쓰는 시스템을 지목했다. 금융위는 "소비자 서비스 제공·업무수행에 필수불가결한 경우를 제외한 외부접근은 원칙적으로 모두 차단"하라고 지시했고, 공격 정보를 공유했는데도 "유사한 침해사고가 발생하는 경우에는 관련 법령에 따라 엄정하게 대응해 나갈 예정"이라고 밝혔다.

신 사무처장 발언대로라면 당국은 롯데카드 사고와 미토스 쇼크 때 전수점검을 거듭 주문했다. 그런데도 2026년 10월 자체점검에서 555곳 가운데 130곳이 패치와 관제 같은 기본 항목을 갖추지 못했다고 스스로 보고했다. 점검 방식도 달라졌다. 2025년 9월 금융위는 "전체 카드사 보안 실태에 대한 금감원 점검을 즉시 개시"하겠다고 했지만, 2026년 10월 사태 뒤 첫 전 금융권 점검은 금융회사가 체크리스트를 채워 내는 자체점검이었다.

1년 전 대책과 14일 대책은 'CEO 책임·전수점검·제도개선'이 그대로 겹쳐

금융위가 14일 내놓은 네 갈래 대책은 1년 전 문구와 많이 겹친다. 첫째 항목은 전면 보안점검이다. 금융회사는 "전산시스템이 외부와 연결되는 모든 접점을 목록화·현행화"해야 하고, 당국은 "CEO·CISO·CIO 등의 보고체계·책임범위 등도 명확히 하도록" 지도·감독하겠다고 했다. 2025년 9월 금융위가 요구한 것은 "CEO 책임하에" 정보보호체계 전반을 "전면 재점검"하는 일이었고, 같은 해 10월 범부처 대책에는 "CEO 책임과 CISO 역할 강화"가 들어 있었다.

제재 강화도 되풀이됐다. 금융위는 14일 "CEO 책임 강화 및 제재 실효성 제고 등을 위한 다양한 제도개선 방안도 조속히 추진할 계획"이라고 밝혔다. 2025년 9월에는 "징벌적 과징금"을, 10월 범부처 대책에서는 "과태료·과징금 상향, 이행강제금 및 징벌적 과징금 도입"을 약속했다. 1년 만에 같은 사안이 다시 '추진할 계획'으로 올라왔다. 21일 금융위가 의결한 새 과징금 기준에서도 신용정보법상 법정부과상한액은 원칙적으로 전체 매출액의 3%로 적혀 있다.

2025년 10월 범부처 대책은 금융을 포함한 "1600여 개 IT 시스템" 보안 취약점 점검을 "즉시 추진한다"고 했다. 1년 뒤인 2026년 10월 14일 금융위는 다시 전수점검을 꺼내며 "구체적인 점검범위와 일정"은 금융권과 협의해 "신속히 확정"하겠다고 했다.

새 대책은 기한 없이 '조속히'·'검토'로 남아

14일 보도자료에 날짜가 박힌 일정은 이미 끝난 체크리스트 점검의 마감일(10월 8일) 하나다. 앞으로 할 일은 모두 기한이 없다.

위협 조기탐지 분야에서 AI 위협 수준 정보체계는 "조속히 마련해 나갈 계획"이고, AI 기반 취약점 점검 인프라는 "구축도 추진한다"고 했다. 상시감독 분야에서는 지금 연 1회(외부 홈페이지 연 2회)인 금융회사 취약점 점검·평가를 대형사에 한해 "연 2회 이상으로 확대"하는 방안을 추진하고, 당국이 수시로 점검할 근거는 "검토·추진할 예정"이라고 했다. 중소형사 지원에서는 금융보안원이 업권 협회·중앙회와 함께 AI 기반 공동 보안관제 시스템 구축을 "검토"한다. 전자금융거래법 적용대상이 아닌 대부업과 보험 법인보험대리점(GA)에는 보안 강화방안을 "조속히 검토·추진"하겠다고 했다.

10월 2일 첫 회의에서도 금융위는 자체점검 결과를 "조속한 시일 내에 제출·보고토록 할 예정"이라고만 했다. 점검은 8일 마무리됐고, 14일까지 확인된 피해 회사는 16곳으로 늘었다.

5월엔 망분리 완화·패치 장애 면책을, 21일엔 경미한 위반 과징금 인하를 내놔

해킹 대응과 함께 당국은 규제를 푸는 방향의 조치도 이어 왔다. 5월 22일 간담회에서 금융위는 "보안목적 AI 활용에 대해서 망분리 규제완화를 신속히 추진한다"며 총자산 10조원 이상·상시종업원 1,000명 이상인 49개 금융회사가 신청하면 1년 동안 한시적으로 규제를 풀어 주기로 했다. 고도의 역량을 갖춘 금융회사는 "망분리 규제를 전면 해제하는 방안도 검토·추진할 계획"이라고 했다. 보안패치 과정에서 생긴 경미한 전산장애에는 "신속한 복구 및 소비자 보호조치를 전제로 제재 감경·면책도 추진"하겠다고 했다. 권대영 부위원장은 당시 "고성능 AI 보안위협은 감기 바이러스와 같아서, 완전히 차단할 수 있는 대상이 아니라 함께 살아가면서 관리해야 할 위협이다"라고 말했다. 신 사무처장은 14일에도 "망분리 규제 완화 등 제도개선도 보다 면밀하고 속도감 있게 추진해 나가겠다"고 했다.

21일 제18차 정례회의에서 의결된 「신용정보업감독규정」 개정안은 23일 시행된다. 50%, 75%, 100% 세 단계였던 부과기준율은 약한 위반 1~30%, 중대한 위반 30~65%, 매우 중대한 위반 65~100%의 연속 구간으로 바뀌었다. 금융위가 든 예시는 매출 7조원, 당기순이익 7,000억원인 가상의 금융회사다. 중대성 점수 1.2점인 '중대성이 약한 위반'의 기본과징금은 종전 1,050억원(기준율 50%)에서 210억원(기준율 10%)으로 5분의 1이 된다. 중대성 점수 2.5점 사례는 새 기준에서 75% 기준율로 1,575억원을 산정한 뒤 25% 가중분 525억원을 더해, 종전과 같은 2,100억원이 된다.

금융위는 3년 안에 같은 위반을 되풀이하거나 1천만명 이상이 피해를 보는 대규모 유출은 기본과징금의 100%까지 가중할 수 있도록 했다고 설명했다. 자율적인 개인신용정보 보호 강화와 신속한 소비자 보호 대책 이행은 감경 사유로 넓어졌다. 이번 16곳·약 10만건 유출은 1천만명 가중 기준에 크게 못 미친다. 경과조치는 행정기본법 제14조를 따라, 개정 전 위반에는 위반 당시 규정을 적용하되 개정 규정이 더 유리하면 개정 규정을 적용할 수 있다. 금융위는 과징금 기준을 투명하게 공개해 예측 가능성을 높였다고 설명했다.

피해 보상 문구는 '전액 보상 관리·감독'에서 '최선을 다할 필요'로 물러나

2025년 9월 롯데카드 사고 때 금융위 자료에는 "침해사고로 인한 부정사용 발생시 전액 선보상"이 롯데카드의 조치로 실렸고, 금융위는 "관련 피해 발생시 전액 보상 등 롯데카드의 소비자 보호 조치"를 "면밀히 관리·감독"하겠다고 했다. 같은 해 10월 범부처 대책은 "기업의 보안 부주의로 해킹이 발생하면 소비자의 입증책임 부담을 완화"하고, 과징금 수입을 피해자 지원에 쓰는 "기금 신설을 검토한다"고 밝혔다.

이번 사태에서 보상 문구는 한 단계 약해졌다. 10월 4일 회의 자료는 침해사고가 난 금융회사에 대해 "소비자 피해가 확인된 경우에는 소비자에게 상세한 정보를 통지하고 피해구제·보상 등이 신속하고 차질 없이 이루어질 수 있도록 최선을 다할필요가 있다"고 적었다. 16곳·약 10만건 피해를 공개한 14일 대책 자료에는 '보상'과 '피해구제'라는 단어가 한 번도 나오지 않는다.

당국은 2차 피해 차단에 무게를 뒀다. 6일 소비자경보 2026-26호를 '주의' 등급으로 내고 6일부터 한 달을 '개인정보 유출 2차피해 특별대응기간'으로 정했다. 금융회사에는 전담 상담창구와 이상거래탐지시스템(FDS) 강화를 지시했다. 당국은 "현재까지 금번 금융회사의 개인정보 유출 사고와 관련하여 보이스피싱 등 피해로 고객 자금이 유출된 사례는 확인되지 않았습니다"라고 밝혔다. 유출된 정보에는 주민등록번호가 들어 있지만 비밀번호와 일회용비밀번호(OTP)는 빠져나가지 않았다는 것이 당국 설명이다.

피해 예방 수단으로 당국이 안내한 것은 대부분 소비자가 직접 신청해야 하는 서비스다. 여신거래·비대면 계좌개설·오픈뱅킹 안심차단은 8월 말 기준 약 700만명(중복 가입 가능)이 가입했고, 금감원 파인(fine.fss.or.kr)의 개인정보노출자 사고예방시스템도 본인이 등록해야 한다. 금융권 사기 의심정보 공유 플랫폼 ASAP은 2025년 10월 출범 뒤 2026년 8월까지 의심계좌 7,666개의 지급을 정지해 약 699억4천만원의 피해를 막았다고 당국은 밝혔다.

출처 (KST)

• 금융위원회 · 2026-10-14 · 금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다. 금융위 사무처장 주재, 「제2차 긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87927
• 금융위원회 · 2026-10-06 · 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다. - 금융위원장 주재 금융위·금감원 합동 「全금융권 긴급 점검회의」 개최 · https://www.fsc.go.kr/no010101/87876
• 금융위원회 · 2026-10-06 · 최근 금융권 개인정보 유출사고에 따른 보이스피싱·스미싱 등 피해에 주의하세요. · https://www.fsc.go.kr/no010101/87882
• 금융위원회 · 2026-10-02 · 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최 · https://www.fsc.go.kr/no010101/87869
• 금융위원회 · 2026-10-21 · 신용정보법 과징금 부과의 예측 가능성을 한층 높였습니다. - ｢신용정보업감독규정｣ 개정안 제18차 정례 금융위원회 의결 · https://www.fsc.go.kr/no010101/87973
• 금융위원회 · 2026-05-26 · 금융권 AI 전환 본격화! 금융분야 망분리 규제를 완화하여 혁신은 넓게, 보안은 더 단단하게 하겠습니다. - ｢고성능 AI 관련 금융권 보안위협 대응 간담회｣ 실시 · https://www.fsc.go.kr/no010101/86972
• 대한민국 정책브리핑(과학기술정보통신부 등 관계부처) · 2025-10-22 · 범부처 정보보호 대책 발표…해킹 정황 시 기업 신고 없어도 조사 · https://www.korea.kr/news/policyNewsView.do?newsId=148952831
• 금융위원회 · 2025-09-18 · 롯데카드 정보유출 관련 긴급 대책회의 개최 · https://www.fsc.go.kr/no010101/85319