“은행·카드사 보안을 챙겨 주는 곳이 해킹을 당했다고요?” 오늘(11월 10일) 저녁 뉴스를 보고 이렇게 놀란 분이 많을 거예요. 금융권 사이버 보안을 맡고 있는 금융보안원의 ‘정보보호 상시평가 지원시스템’이 해킹 공격을 받아 일부 자료가 밖으로 빠져나간 사실이 알려졌거든요.
보도를 종합하면 금융보안원은 11월 9일 침해 사실을 확인하고 접속을 차단한 뒤 금융위원회 등 당국에 보고했어요. 빠져나간 것은 금융회사들이 평가를 위해 제출한 행정 서류와, 그 서류에 적힌 금융사 담당 직원의 이메일·회사 전화번호 같은 정보로 알려졌어요. 특히 눈길을 끄는 건 공격 방식이에요. 공격자가 접속할 때마다 IP 주소를 바꿔 가며 평범한 이용자처럼 들어와서, 관제 시스템이 이를 정상 접속으로 판단했다고 해요. 오늘은 이 사건을 처음 듣는 분도 이해할 수 있게, 무슨 일이 있었고 내 계좌와는 어떤 관계인지, 그리고 지금 할 일까지 차근차근 정리해 볼게요.
한눈에 보는 핵심
| 항목 | 내용 (11월 10일 보도 기준) |
|---|---|
| 어디가 | 금융보안원의 ‘정보보호 상시평가 지원시스템’ (금융사가 평가 자료를 내고 업무를 처리하는 사이트) |
| 언제 | 11월 9일 침해 사실 확인 → 긴급 차단 → 금융위원회 등에 보고. 10일 언론 보도 |
| 무엇이 | 평가 지원용으로 제출된 행정 서류 위주, 서류에 적힌 금융사 담당 직원 이메일·회사 전화번호 등 (이름은 일부 가림 처리) |
| 규모 | 금융사 직원 정보 수백 건 유출 정황 (정확한 건수는 확인 중) |
| 안 샌 것 | 주민등록번호 등 식별정보, 금융사 보안 세부 내역은 유출되지 않았다는 설명. 고객 정보는 거의 포함되지 않은 것으로 알려짐 |
| 어떻게 | 접속할 때마다 IP 주소를 바꿔 정상 이용자처럼 접근 → 관제망이 정상 접속으로 판단 |
| 지금 | 시스템은 ‘일시 중단’ 안내. 금융감독원이 피해 상황 조사, 금융위는 경위 규명·전체 시스템 재점검 지시 |
금융보안원은 어떤 곳일까?
금융보안원은 이름 그대로 금융권 보안을 전문으로 맡는 기관이에요. 2015년 금융위원회 주도로 세워졌고, 은행·증권·보험·카드사 같은 금융회사들이 회원사로 참여해요. 쉽게 말해 각 금융회사에 보안팀이 따로 있지만, 그 위에서 금융권 전체를 함께 지켜보는 ‘공동 경비실’ 같은 역할을 한다고 보면 돼요.
| 하는 일 | 쉽게 말하면 | 예시 |
|---|---|---|
| 보안관제 | 금융권으로 들어오는 수상한 접속을 24시간 지켜봄 | CCTV 화면을 계속 보는 경비원 |
| 침해사고 대응 | 해킹이 터지면 원인 분석과 복구를 도움 | 불이 났을 때 달려오는 소방대 |
| 취약점 분석·평가 | 금융사 시스템의 약한 곳을 미리 찾아냄 | 건물 안전 점검 |
| 정보보호 상시평가 | 금융사가 보안 관리를 잘하는지 수시로 점검·평가 | 정기 건강검진 문진표 |
| 교육·연구 | 금융보안 정책·기술 연구와 직원 교육 | 보안 교과서와 연수원 |
이번에 공격받은 곳은 이 중 ‘상시평가’ 업무를 돕는 지원시스템이에요. 금융회사가 “우리는 이런 식으로 보안을 관리하고 있어요”라는 자료를 이 시스템에 제출하고, 금융보안원과 서류를 주고받는 창구였어요. 올해 4월 기준 정보보호 상시평가 대상은 보도에 따라 약 3,000~3,300여 개 금융회사예요. 금융 당국은 이 시스템이 금융보안원의 핵심 보안 시스템은 아니다라고 설명했어요.
시간 순서로 보면
| 시점 | 있었던 일 |
|---|---|
| 2026년 4월 | 금융보안원, 올해 정보보호 상시평가 실시 발표 (대상 3천여 개 금융회사) |
| 11월 5일 | 금융보안원에서 금융위원장 주재 ‘AI 시대 보안체계 혁신을 위한 전 금융권 간담회’ 개최 |
| 11월 9일 | 상시평가 지원시스템 침해 사실 확인 → 접속 차단 등 긴급 조치 → 금융위원회 등 당국에 보고 |
| 11월 10일 저녁 | 언론 보도. 시스템 홈페이지에는 ‘서버 일시 중단’ 안내만 게시. 금융위는 경위 규명·복구·재발 방지 지시, 금감원은 피해 조사 |
| 11월 12일 (예정) | 금융보안원 주최 포럼 (AI 시대 금융보안 신뢰 확보, 망분리 규제 변화, 사이버위협 대응 전략 등) |
공교롭게도 이틀 뒤에는 금융보안원이 직접 여는 대형 보안 포럼이 잡혀 있어요. 그래서 “보안을 지키는 기관이 먼저 뚫렸다”는 점이 더 크게 화제가 됐어요. 금융위 관계자도 “유출 규모가 크지 않고 민감하지 않다는 게 중요한 게 아니라, 해킹을 관리하는 기관에서 이런 사고가 났다는 것 자체가 문제”라고 말했어요.
IP를 바꿔 가며 들어오면 왜 못 잡을까?
먼저 IP 주소부터 짚고 갈게요. IP 주소는 인터넷에 연결된 기기의 ‘집 주소’ 같은 거예요. 많은 보안 장비는 “같은 주소에서 짧은 시간에 너무 많이 들어오면 수상하다”는 규칙으로 공격을 걸러요. 같은 사람이 가게 문을 1분에 50번 두드리면 경비원이 바로 알아채는 것과 비슷해요.
그런데 이번 공격자는 들어올 때마다 다른 IP 주소를 썼다고 해요. 같은 사람이 매번 옷을 갈아입고 다른 문으로 한 번씩만 들어오는 셈이죠. 그러면 각각의 접속은 “처음 온 손님 한 명”으로 보이니, 주소 기준 규칙에는 잘 걸리지 않아요. 금융보안원 관계자도 “공격할 때마다 IP 주소가 계속 바뀌어 정상 접근처럼 보이다 보니 놓쳤다”, “동일한 IP로 계속 들어왔다면 금방 잡아냈을 것”이라고 설명했어요. 공격에 쓰인 IP는 기존에 파악된 공격 IP 목록과도 달랐다고 하고요.
| 구분 | 같은 IP로 반복 접속 | IP를 매번 바꿔 접속 |
|---|---|---|
| 관제 화면에 보이는 모습 | 한 주소에서 수십·수백 번 접속 | 여러 주소에서 한두 번씩 접속 |
| ‘주소 기준’ 규칙 | 반복 횟수로 바로 경보 | 하나하나는 기준 미만이라 통과하기 쉬움 |
| ‘차단 목록’ 대조 | 이미 알려진 공격 IP면 바로 차단 | 새 IP라 목록에 없음 |
| 새로운 기법인가? | 전통적인 방식 | 새 기법은 아니지만 여전히 효과적인 우회 방법 |
| 더 잘 잡으려면 | 주소 차단만으로도 꽤 효과 | 계정·세션 단위 행동 분석, 평소와 다른 다운로드량·시간대 감시 필요 |
보안 업계에서는 이런 이유로 “누가(어느 주소가) 들어왔나”만 보지 말고 “들어와서 무엇을 하는가”를 함께 봐야 한다고 말해요. 예를 들어 평소엔 서류 몇 개만 보던 계정이 갑자기 많은 파일을 내려받는다면, 주소가 매번 달라도 이상 신호로 볼 수 있죠. 다만 이번 사건의 정확한 침입 경로(어떤 계정이나 취약점을 썼는지)와 공격 주체·국적은 아직 확인되지 않았어요.
무엇이 샜고, 무엇은 안 샜나
| 구분 | 내용 | 출처 성격 |
|---|---|---|
| 샌 것 (정황) | 평가 지원을 위해 제출된 행정 서류·서비스 신청서 | 금융당국·금융보안원 설명 |
| 샌 것 (정황) | 서류에 적힌 금융사 상시평가 담당 직원의 이메일 주소, 회사 전화번호, 이름(일부 가림 처리) | 금융보안원 관계자 |
| 안 샌 것 | 주민등록번호 등 식별 정보 | 금융보안원 관계자 |
| 안 샌 것 | 금융회사 보안 취약점 같은 보안 세부 내역 | 금융위 “애초에 그런 정보를 다루는 시스템이 아니다” |
| 거의 없음 | 금융사 고객 정보 | 보도 (거의 포함되지 않은 것으로 알려짐) |
| 확인 중 | 정확한 유출 건수, 공격 주체, 침입 경로 | 추가 조사 필요 |
정리하면 이번 사고는 “우리 같은 일반 고객의 계좌 정보가 털린 사고”라기보다는 “금융회사 보안 담당 직원들의 업무 연락처가 샌 사고”에 가까워요. 금융보안원은 유출이 확인된 금융회사에 개별적으로 알리고 있고, 회원사 직원에게 2차 피해가 생기면 배상하겠다는 방침이라고 밝혔어요.
그럼 진짜 걱정해야 할 건 뭘까? ‘맞춤형 사칭 메일’
이메일과 회사 전화번호만 샌 게 왜 문제일까요? 핵심은 ‘맥락’이에요. 공격자는 이제 “어느 금융사의 누가 상시평가 업무를 맡고 있는지”를 알 수 있어요. 그러면 아무에게나 뿌리는 스팸이 아니라, 진짜 업무처럼 보이는 메일을 정확히 그 사람에게 보낼 수 있죠. 이런 걸 스피어 피싱(작살로 한 사람만 노리는 낚시)이라고 불러요.
예를 들어 이런 메일을 상상해 보세요. “[금융보안원] 상시평가 지원시스템 재개에 따른 계정 재인증 안내 — 아래 링크에서 비밀번호를 다시 설정해 주세요.” 실제로 시스템이 멈춰 있는 상황이라 그럴듯하게 들리죠? 하지만 이런 메일의 링크를 누르면 가짜 로그인 화면으로 가서 회사 계정을 빼앗길 수 있어요.
| 나는 누구? | 이번 사고와의 관계 | 걱정 수준과 할 일 |
|---|---|---|
| 은행·카드 앱을 쓰는 일반 고객 | 고객 정보는 거의 포함되지 않은 것으로 알려짐 | 당장 계좌·카드를 바꿀 이유는 크지 않음. 대신 이 뉴스를 핑계로 한 사칭 문자 조심 |
| 금융회사 보안·상시평가 담당 직원 | 내 이메일·회사 전화번호가 유출 대상일 수 있음 | 소속사 통지 확인, ‘금융보안원’ 이름의 메일·전화는 공식 채널로 되묻기 |
| 금융회사 보안팀·관리자 | 직원을 노린 맞춤형 피싱의 표적이 될 수 있음 | 메일 필터에 관련 키워드 주의 설정, 직원 공지, 의심 메일 신고 창구 안내 |
| 일반 회사 IT 담당자 | 직접 관계는 없음 | ‘IP 바꿔 들어오는 접속’을 우리 시스템은 잡을 수 있는지 점검해 볼 기회 |
사칭 메일·문자, 이렇게 구별해요
| 체크 포인트 | 의심 신호 | 안전한 행동 |
|---|---|---|
| 보낸 주소 | 공식 도메인과 한 글자 다르거나, 무료 메일 주소 | 주소 전체를 끝까지 확인 |
| 요구하는 것 | 링크 눌러 비밀번호 재설정, 첨부파일 실행, 앱 설치 | 링크 대신 즐겨찾기한 공식 사이트로 직접 접속 |
| 말투 | “오늘 안에”, “미조치 시 평가 불이익” 같은 재촉 | 급할수록 한 번 멈추기 |
| 첨부파일 | 압축 파일, 실행 파일, 매크로가 든 문서 | 열기 전에 보안팀에 확인 |
| 전화 | “금융보안원인데요”라며 계정·인증번호 요구 | 끊고 공식 대표번호로 직접 다시 걸기 |
참고로 요즘 금융권은 사고 소식이 연달아 나오면서 분위기가 예민해요. 이달 초에는 여러 금융사를 고객으로 둔 IT 인프라 업체 한일네트웍스가 랜섬웨어 공격을 받아 금융당국이 금융사 자체 점검을 지시하기도 했어요(회사는 유출 피해가 없다고 밝혔어요). 이런 때일수록 “보안 점검”, “긴급 조치” 같은 단어를 앞세운 가짜 연락이 늘기 쉬우니, 금융회사에 다니지 않는 분도 가족에게 한 번 알려 주면 좋아요.
오늘 할 5가지
| 순서 | 할 일 | 이렇게 해요 |
|---|---|---|
| 1 | 내 계좌는 차분히 | 고객 정보는 거의 없다고 알려졌어요. 불안하다고 출처 모를 ‘유출 조회’ 사이트에 개인정보를 넣지 마세요 |
| 2 | 링크는 누르지 않기 | ‘금융보안원’, ‘상시평가’, ‘보안 점검’을 내세운 문자·메일의 링크는 일단 의심 |
| 3 | 보낸 주소 확인 | 도메인 철자를 끝까지 보고, 회사 메일이면 보낸 사람 표시 이름만 믿지 않기 |
| 4 | 전화로 되묻기 | 의심되면 메일에 적힌 번호 말고 공식 홈페이지의 대표번호로 직접 확인 |
| 5 | 회사 보안팀에 공유 | 금융사 직원이라면 의심 메일은 지우기 전에 보안팀에 신고해 다른 동료 피해를 막기 |
확인된 것과 아직 모르는 것
| 확인된 것 | 아직 모르는 것 |
|---|---|
| 11월 9일 침해 확인, 차단 후 당국 보고 | 정확한 유출 건수 (수백 건 정황) |
| 대상은 상시평가 지원시스템 (핵심 보안 시스템 아님) | 공격자가 누구인지, 어느 나라인지 |
| IP를 바꿔 가며 정상 접속처럼 위장 | 정확히 어떤 경로·계정·취약점으로 들어왔는지 |
| 직원 이메일·회사 전화번호 등 유출, 주민번호·보안 세부 내역은 아니라는 설명 | 제출 서류 내용 중 어디까지 빠져나갔는지 |
| 유출 금융사에 개별 통지, 2차 피해 시 배상 방침 | 시스템 재개 시점과 재발 방지 대책 내용 |
이번 사건은 “보안 전문 기관도 100% 안전할 수는 없다”는 걸 보여 줬어요. 그래서 기관이 할 일(행동 기반 감시, 경위 공개)과 별개로, 우리 각자가 할 일은 생각보다 단순해요. 뉴스에 나온 기관 이름을 앞세운 연락일수록 한 번 더 의심하고, 링크 대신 공식 창구로 직접 확인하기. 이 습관 하나면 이번 같은 사고가 내 피해로 번지는 길을 대부분 막을 수 있어요. 추가 조사 결과가 나오면 숫자와 경로가 더 분명해질 테니, 그때도 쉽게 풀어 드릴게요.