주말 사이 “미래에셋증권도 해킹당했다”는 소식 보셨죠? 국내 최대 증권사에서 고객 약 3,800명의 계좌번호와 임직원·퇴직자·외주직원 3만 5,255명의 정보가 빠져나갔다는 내용이에요. 이 증권사를 쓰시는 분이라면 제일 먼저 이런 생각이 드실 거예요. “계좌번호가 샜으면 누가 내 돈을 빼 갈 수 있는 거 아냐?”
결론부터 말씀드리면, 계좌번호 하나만으로 돈이 바로 빠져나가는 구조는 아니에요. 진짜 조심할 건 따로 있어요. 바로 “내 계좌번호를 아는 사람”이 회사인 척 연락해 오는 경우예요. 오늘은 회사 공지(2026년 11월 7일)와 언론 보도로 확인된 내용만 가지고, 무엇이 새고 무엇이 안 샜는지, 왜 금융권에서 이런 일이 연달아 일어나는지, 그리고 오늘 바로 하실 일 5가지를 쉽게 풀어 볼게요.
한눈에 보는 핵심 정리
| 항목 | 내용 |
|---|---|
| 회사 | 미래에셋증권 (공지일 2026년 11월 7일, 대표이사 김미섭·허선호 명의 사과) |
| 사고 ① | 11월 4일 · 모바일웹의 휴대폰 인증 로그인 서비스에 외부의 비정상적인 접근 |
| 사고 ① 피해 | 고객 약 3,800여 명 · 유출 항목은 계좌번호 1가지 |
| 사고 ② | 11월 5일 · 사내 그룹웨어 ‘mi-global’에 외부 공격 |
| 사고 ② 피해 | 퇴직자·외주직원 포함 3만 5,255명 · 대부분 성명·사번, 일부는 이메일·휴대폰번호·암호화된 비밀번호 |
| 안 샌 것(회사 설명) | 고객: 예금주명 등 다른 정보 / 임직원: 주민등록번호·여권번호·운전면허번호·외국인등록번호 등 고유식별정보·민감정보 |
| 금전 피해 | 회사 설명 기준 현재까지 확인된 금전 피해 없음, 악성코드 감염·서비스 중단도 없었다고 밝힘 |
| 회사 조치 | 해당 로그인 서비스 긴급 중단, 대외 연결 차단 후 취약점 점검 · 금융위·금감원·개인정보위 보고 |
| 문의 | 주말 임시 상담창구(11/7~8, 10:00~17:00) → 11월 9일(월)부터 고객센터 1588-6800(평일 08:00~18:00) |
| 초보 핵심 | 계좌번호 = ‘주소’일 뿐, 돈을 여는 ‘열쇠’(비밀번호·OTP·인증번호)는 절대 알려 주지 않기 |
무슨 일이 있었나요? 하루 간격으로 ‘두 개의 문’이 뚫렸어요
이번 사고는 사실 서로 다른 두 건이에요. 뉴스에서 “3만 9천여 명 유출”이라고 합쳐서 말하는 경우가 많은데, 고객과 임직원은 다른 문에서, 다른 정보가 새어 나갔어요. 이걸 구분해야 내가 걱정할 게 무엇인지 정확히 보여요.
| 구분 | 사고 ① 고객 쪽 | 사고 ② 직원 쪽 |
|---|---|---|
| 날짜 | 2026년 11월 4일 | 2026년 11월 5일 |
| 뚫린 곳 | 모바일웹 휴대폰 인증 로그인 서비스 | 사내 그룹웨어 mi-global (전자결재·메일 같은 업무 시스템) |
| 누구 정보 | 고객 약 3,800여 명 | 현직 임직원 + 퇴직자 + 외주직원 3만 5,255명 |
| 무엇이 | 미래에셋증권 계좌번호 1가지 | 대부분 성명·사번 / 일부 이메일·휴대폰번호·암호화된 비밀번호 (사람마다 다름) |
| 안 샌 것 | 예금주명 등 다른 정보 | 주민번호 등 고유식별정보·민감정보 |
| 회사 조치 | 해당 서비스 긴급 중단, 외부 연결 막고 취약점 점검 | 서버 네트워크 차단, 그룹웨어·관련 모바일 서비스 외부 접속 중단, 외부에서 접속 가능한 사내 시스템 전반으로 점검 확대 |
두 사고가 서로 연결된 공격인지는 아직 확인되지 않았어요. 어떤 취약점이 쓰였는지 같은 기술적 원인도 공개되지 않았고요. 회사는 “외부에서 정상 권한 없이 자료를 열람한 사례”라고 설명했고, 금융당국은 미래에셋증권에 점검반을 보낼지 검토 중인 것으로 알려졌어요. 그러니 “이런 방법으로 뚫렸다더라” 같은 이야기는 공식 조사 결과가 나올 때까지 조금 거리를 두고 보시는 게 좋아요.
계좌번호가 샜는데, 내 돈은 괜찮을까요?
집으로 비유해 볼게요. 계좌번호는 ‘우리 집 주소’예요. 남에게 돈을 받을 때 계좌번호를 알려 주잖아요? 그만큼 원래도 완전히 비밀인 정보는 아니에요. 반면 돈을 실제로 움직이려면 ‘열쇠’가 필요해요. 온라인으로 로그인할 때의 인증(공동인증서·간편인증 등), 이체할 때의 계좌 비밀번호, 그리고 OTP·문자 인증번호 같은 보안 수단이죠. 회사 설명으로는 이번에 이런 열쇠는 새지 않았어요.
| 쉬운 비유 | 실제 정보 | 이번에 샜나? | 나쁜 사람이 할 수 있는 일 |
|---|---|---|---|
| 집 주소 | 계좌번호 | 샘 (고객 약 3,800명) | “고객님 계좌 ○○○○ 관련입니다”처럼 그럴듯하게 접근 |
| 문패(이름) | 예금주명 | 안 샘 (회사 설명) | — |
| 현관 도어락 | 로그인 인증 | 안 샘 | — |
| 금고 비밀번호 | 계좌 비밀번호 | 안 샘 | — |
| 한 번 쓰는 열쇠 | OTP·문자 인증번호 | 안 샘 | 그래서 사칭 연락으로 직접 받아 내려 할 수 있음 |
여기서 핵심이 나와요. 나쁜 사람 입장에서 열쇠가 없으니, 열쇠를 가진 사람(바로 나)에게서 받아 내는 것이 다음 수순이 되기 쉬워요. 그래서 회사도 공지에서 “상대방이 고객님의 계좌번호 등을 알고 있더라도 메시지 속 링크를 누르거나 비밀번호·OTP·문자 인증번호를 알려 주지 말라”고 강조했어요. 계좌번호를 안다는 사실이 ‘진짜 회사’라는 증거가 될 수 없다는 점, 꼭 기억해 주세요.
이런 연락이 오면 ‘빨간불’이에요
유출 소식이 나오면 꼭 뒤따라오는 게 “유출 피해 확인”을 핑계로 한 문자·전화예요. 아래 표처럼 생각해 보시면 구별이 훨씬 쉬워요.
| 상황 예시 | 위험도 | 이렇게 하세요 |
|---|---|---|
| “고객님 계좌 유출 피해 조회” 문자 + 링크 | 🔴 높음 | 링크 누르지 말고, 앱이나 홈페이지에 직접 들어가서 확인 |
| “보상 신청하려면 인증번호 불러 주세요” 전화 | 🔴 매우 높음 | 바로 끊기. 인증번호·OTP는 누구에게도 알려 주지 않기 |
| “보안 강화용 앱 설치” 안내 문자 | 🔴 높음 | 공식 앱은 앱스토어·구글 플레이에서만. 링크로 받은 앱 설치 금지 |
| 내 계좌번호 뒷자리를 정확히 말하는 상담원 | 🟠 주의 | 그 자체로 진짜라는 증거 아님. 끊고 대표번호로 다시 걸기 |
| 회사가 보낸 유출 안내 통지 | 🟢 정상일 수 있음 | 내용은 참고하되, 확인은 고객센터 대표번호(1588-6800)로 직접 |
임직원·퇴직자분들도 마찬가지예요. 회사는 이름과 사번을 아는 사람이 보낸 메시지라도 의심스러운 링크나 첨부파일은 열지 말고, 원래 알고 있던 연락처로 업무 요청이 진짜인지 확인해 달라고 안내했어요. 사번까지 맞추는 메일은 “우리 회사 사람”처럼 보이기 쉬워서, 회사 내부를 노리는 다음 공격의 미끼가 될 수 있거든요.
왜 금융권에서 이렇게 연달아 터질까요?
이번 일은 한 회사만의 사고가 아니라 금융권 연쇄 해킹 흐름 속의 한 장면이에요. 금융위원회 집계로는 9월 30일부터 11월 3일까지 금융사 37곳에서 침해사고 40건이 신고됐고, 유출된 정보는 약 47만 3천 건이에요. 일부 소형 가상자산거래소·전자금융업자·온투업체에서는 회사가 관리하던 자금 약 10억 원이 탈취되기도 했어요. 다만 계좌 비밀번호처럼 부정결제로 바로 이어지는 정보의 유출은 이 집계에서 아직 확인되지 않았다고 해요. 그리고 미래에셋증권 사고는 이 집계 이후에 나온 것이라, 숫자는 더 늘어날 수 있어요.
| 미래에셋그룹 계열사 | 날짜 | 내용(보도 기준) |
|---|---|---|
| 미래에셋생명 | 10월 26일 | 고객 개인정보 유출 · 현장점검 결과 피해자 약 6,800명 수준으로 전해짐 |
| 미래에셋자산운용 | 10월 28일 | 외부 침투 시도 파악 |
| 에너지인프라자산운용 | 11월 2일 | 외부 침투 시도 파악 |
| 미래에셋증권 | 11월 4일·5일 | 고객 계좌번호, 임직원 등 정보 유출 |
증권업계만 봐도 앞서 대신증권(투자일임 비대면 계좌개설 연계 서버, 고객 3만 8,490명)과 한양증권에서도 유출 사고가 있었어요. 공통점을 쉽게 말하면 “바깥에서 접속할 수 있는 문(외부 접점)”이 노려진다는 거예요. 모바일웹 로그인 페이지, 그룹웨어, 계좌개설 연계 서버처럼 인터넷에 열려 있어야 하는 시스템은 많고, 그중 하나만 약해도 들어올 틈이 생기죠. 금융당국은 이번 연쇄 공격에 AI 에이전트가 동원된 것으로 보고 조사를 이어 가고 있다고 보도됐어요.
정부는 뭘 하겠다고 했나요? (11월 5일 대책)
공교롭게도 금융위원회는 미래에셋증권 그룹웨어 공격이 있던 바로 그날, 11월 5일에 금감원·금융보안원·전 금융권 협회장들과 ‘AI 시대 보안체계 혁신을 위한 전 금융권 간담회’를 열고 대책을 내놨어요. 내 생활과 관련 있는 부분 위주로 정리해 볼게요.
| 대책 | 내용 | 내게 주는 의미 |
|---|---|---|
| 외부 접점 전수점검 | 가상자산사업자 포함 580여 개사 · 관리대장 시스템은 11월 30일까지, 미등록 시스템·경영진 보안관리 체계는 연말까지 | 점검 중 중대 취약점이 나오면 서비스가 잠시 멈출 수 있음 |
| 취약점 분석·평가 강화 | 대형 금융사 연 1회 → 연 2회 | 점검 주기가 짧아짐 |
| 공동 해킹 관제 | 다음 달 시범 운영 → 내년 1분기 전 업권 확대 | 여러 금융사가 공격 정보를 함께 봄 |
| 2차 피해 방지 | 다크웹 등 개인정보 불법 유통 상시 감시 · 보이스피싱 피해 시 금융사 무과실 책임 법제화 추진 | 추진 단계라 아직 시행 전 |
| 규율 확대·규제 정비 | 가상자산사업자·보험대리점·대부업에 ‘디지털금융안전법’ 추진 · 망분리 규제 내년 1분기 전면 해제 | 보안 규칙의 틀이 바뀌는 중 |
보안 전문가들 사이에서는 “방향은 맞지만 회사 자체 점검에만 맡기기보다 이행을 서두르게 할 유인책이 필요하다”는 목소리도 나왔어요. 대책이 실제로 얼마나 빨리 현장에 닿는지는 앞으로 지켜볼 부분이에요.
오늘 바로 할 5가지
| 순서 | 할 일 | 어떻게 | 누가 |
|---|---|---|---|
| 1 | 내가 대상인지 확인 | 회사의 안내(통지)를 확인하고, 궁금하면 11월 9일부터 고객센터 1588-6800(평일 08:00~18:00)에 직접 전화 | 미래에셋증권 고객 |
| 2 | 공식 경로로만 접속 | 문자 속 링크 대신 앱스토어·구글 플레이의 공식 앱, 또는 주소창에 직접 입력한 홈페이지 | 모든 금융앱 이용자 |
| 3 | 사이버 ID 비밀번호 변경 | 회사 안내대로 공식 홈페이지에 직접 접속해서 변경 · 다른 사이트와 같은 비밀번호였다면 그쪽도 함께 | 미래에셋증권 고객 |
| 4 | 최근 거래 내역 보기 | MAPS 앱에서 최근 주문·체결, 입출금·이체 내역 확인 · 모르는 거래가 있으면 즉시 1588-6800 신고 | 미래에셋증권 고객 |
| 5 | ‘열쇠’는 절대 안 알려 주기 | 비밀번호·OTP·문자 인증번호는 회사 직원이라도 묻지 않아요. 이미 알려 줬다면 바로 고객센터에 신고 | 모두 |
혹시 피해를 입었다면? 구제받는 길 3가지
회사 공지에는 피해를 입었을 때 쓸 수 있는 방법도 함께 안내돼 있어요.
| 방법 | 쉬운 설명 |
|---|---|
| 손해배상 청구 | 회사의 법 위반으로 손해를 입었다면 민사소송으로 손해배상 청구 (공지에 따르면 고의·과실을 소비자가 입증하지 않아도 됨) |
| 법정손해배상 청구 | 회사의 고의·과실로 유출이 인정되면, 실제 손해액을 입증하지 않고도 민사소송으로 청구 |
| 분쟁조정 신청 | 소송 대신 개인정보분쟁조정위원회(kopico.go.kr, 1833-6972)에 조정 신청 |
자주 묻는 질문
| 질문 | 답 |
|---|---|
| 계좌를 해지하거나 새로 만들어야 하나요? | 회사 공지에는 그런 안내가 없어요. 회사가 권한 건 비밀번호 변경과 거래 내역 확인이에요. 불안하면 고객센터에 상담해 보세요. |
| 다른 증권사·은행 고객인데 상관없나요? | 이번 유출 자체와는 관계없지만, 금융권 전반에 사고가 이어지는 시기라 사칭 연락 주의 습관은 모두에게 해당돼요. |
| 임직원 ‘암호화된 비밀번호’가 샜다는 건 위험한가요? | 원문 그대로는 아니지만, 일부 대상자에 한해 포함됐다고 해요. 해당되는 분은 그 비밀번호를 다른 곳에서도 쓰고 있었다면 바꿔 두시는 게 안전해요. |
| 사고 원인은 밝혀졌나요? | 아직이에요. 회사는 원인과 경위를 조사 중이고, 당국은 점검반 파견을 검토 중인 것으로 알려졌어요. |
정리하며
이번 미래에셋증권 사고에서 고객 쪽으로 샌 건 계좌번호라는 ‘주소’였어요. 주소만으로 금고가 열리지는 않아요. 다만 주소를 아는 사람이 “관리사무소인데요” 하며 문을 두드릴 수는 있죠. 그러니 오늘은 공식 앱에서 거래 내역 한 번 보고, 비밀번호 바꾸고, 어떤 연락이 와도 인증번호는 안 알려 준다, 이 세 가지만 꼭 챙겨 두세요. 원인 조사 결과나 당국 점검 소식이 새로 나오면 이해하기 쉽게 다시 정리해 드릴게요. 😊