금융권 AI 해킹, 신한·국민·하나은행에서 무슨 일이 있었나

이 글에서 바로 확인하기

• 금융권 AI 해킹, 무슨 일이 있었나
• 은행별 고객정보 유출 규모
• 내가 유출 대상에 해당하는지 확인하는 기준
• 신한은행 공격 서버에서 나온 ‘ARTEX AI’ 흔적
• 은행 모의해킹, AI 에이전트 대응은 왜 부족했나
• 금융당국 대응과 이억원 금융위원장 발언
• 내 정보 보호를 위해 지금 확인할 것
• 자주 묻는 질문

2026년 9월 말, KB국민은행을 시작으로 신한·하나·BNK부산은행에서 연이어 해킹 사고가 발생해 고객 개인정보가 유출됐습니다. 이번 사고가 이전과 다른 점은 공격자가 AI 에이전트(스스로 판단해 실행하는 자율형 AI)를 동원해 시스템 취약점을 자동으로 찾아내고 공격했을 가능성이 제기됐다는 것입니다. 은행별로 피해 규모와 공격 결과가 다르게 나타났으므로, 아래에서 전체 경과와 은행별 유출 규모를 구분해 정리했습니다.

금융권 AI 해킹, 무슨 일이 있었나

사고는 2026년 9월 30일 KB국민은행 직원용 모바일 업무지원 시스템에서 비정상적인 외부 접근이 포착되면서 시작됐고, 10월 2일 유출 사실이 공식 확인됐습니다(출처: 머니투데이, 2026-10-02). 같은 날(9월 30일) 하나은행에서도 영업지원시스템(ODS)에 대한 비정상적 접근이 발생했고, 10월 1일에는 신한은행에서 대출 관련 고객정보 유출 사고가 확인됐습니다. 10월 1일 밤에는 BNK부산은행 직원용 모바일 영업 지원시스템에서도 AI 에이전트를 활용한 것으로 추정되는 웹서버 공격이 발생했습니다(출처: 연합뉴스, 2026-10-02).

5대 시중은행(KB국민·신한·하나·우리·NH농협) 전체가 공격 대상에 포함됐으며, 우리은행과 NH농협은행도 비슷한 시기 공격을 받았지만 고객 정보 유출로는 이어지지 않았습니다(출처: 미주중앙일보, 2026-10-02).

보안업계가 주목한 부분은 공격 방식입니다. 기존 해킹은 사람이 취약점을 찾고 공격 경로를 설계했다면, 이번 사고에서는 AI가 흩어진 정보를 조합해 취약점을 탐색하고, 공격을 실행한 뒤 결과에 따라 방법을 스스로 수정하는 단계까지 나아간 정황이 포착됐습니다. 사람이 하나의 취약점을 막는 사이 AI가 다른 약점을 찾아 재공격할 수 있어, 기존의 ‘경계형 보안’만으로는 대응이 어렵다는 지적이 나옵니다(출처: 연합뉴스, 2026-10-02).

사태가 금융권 전반으로 번지자 금융위원회는 10월 2일 신진창 사무처장 주재로 긴급 상황대응 회의를 열고 전 금융권에 보안 시스템 점검을 주문했습니다. 이어 10월 4일에는 이억원 금융위원장이 전 금융권 긴급 점검회의에서 “AI를 활용한 공격 가능성을 배제할 수 없다”며 최고 수준의 경각심을 주문했습니다(출처: 연합뉴스, 2026-10-04).

이럴 땐 이렇게 하세요: 본인이 신한·KB국민·하나·BNK부산은행 중 한 곳의 고객이라면, 뒤에 나오는 은행별 유출 규모와 조건별 기준을 확인해 자신이 해당 범위에 포함되는지부터 점검하는 것이 먼저입니다.

은행별 고객정보 유출 규모

은행마다 피해 규모와 공격 결과가 크게 갈렸습니다. 신한은행이 가장 큰 규모의 유출을 겪었고, 우리은행과 NH농협은행은 공격은 받았지만 정보 유출로는 이어지지 않았습니다.

은행	유출 규모	비고
신한은행	약 2만 5천 명	대출모집인 전용 서비스 해킹, 대출 관련 고객정보 유출
KB국민은행	119명	직원용 모바일 업무지원 시스템 해킹, 이름·전화번호·주소·암호화된 주민등록번호 등 접근(금융거래 정보는 접근 불가)
하나은행	89명	영업지원시스템(ODS) 비정상 접근으로 유출
BNK부산은행	11건	외주 개발직원 개인정보 유출(성명·전화번호·생년월일·이메일 주소 등)
우리은행·NH농협은행	0명(유출 없음)	공격은 확인됐으나 정보 유출은 발생하지 않음

(출처: 연합뉴스·미주중앙일보·머니투데이, 2026-10-02)

신한은행은 1일 피해 사실을 확인한 뒤 홈페이지에 사과문을 게시했고, 정상혁 은행장은 “고객이 손해를 입을 경우 책임을 다해 전액 보상하겠다”고 밝혔습니다(출처: 연합뉴스, 2026-10-02). KB국민은행은 9월 30일 비정상 접근 가능성을 인지한 직후 서버와 접근 경로를 차단했고, 하나은행도 10월 1일 해킹 사실을 인지한 즉시 차단 조치와 함께 금융당국에 보고했습니다.

한편 10월 5일 보도에 따르면, 이번 은행권 사고와는 별개로 온라인투자금융업(온투업)권 일부 업체에서도 침해 사실을 공지한 것으로 전해졌습니다. 다만 구체적인 업체명과 피해 규모는 확인되지 않았습니다. 시중은행 해킹에서 발견된 공격자 IP와 다른 업권 공격의 IP는 다른 것으로 파악됐지만, 공격 수법은 유사하다는 보도가 있었습니다(출처: 부산파이낸셜뉴스, 2026-10-05). 이 부분은 은행권 사고와는 별개 업권의 피해이므로, 온투업·저축은행권 피해 현황은 별도로 살펴볼 만한 주제입니다.

신한은행 사고 경위를 보면 공격에는 크리덴셜 스터핑(무작위로 수집된 아이디·비밀번호를 대입해 로그인을 시도하는 공격 기법)이 활용된 것으로 추정되는데, 이 공격 기법 자체의 원리와 차단 방법은 별도로 짚어볼 만한 주제입니다.

이럴 땐 이렇게 하세요: 신한은행 고객이라면 대출모집인 전용 서비스 이용 이력이 있는지, KB국민·하나은행 고객이라면 최근 영업점·직원용 시스템을 통한 상담 이력이 있는지를 먼저 떠올리는 것이 유출 대상 여부를 가늠하는 단서가 됩니다.

내가 유출 대상에 해당하는지 확인하는 기준

이번 사고는 전체 고객이 아니라 특정 서비스나 시스템을 이용한 일부 고객으로 유출 범위가 제한된 경우가 많습니다. 자료에서 확인된 은행별 조건은 다음과 같습니다.

• 신한은행 고객: 대출모집인 전용 서비스를 통해 대출 상담·신청을 한 이력이 있다면 유출 대상에 포함될 가능성이 있습니다. (해당 서비스 해킹으로 약 2만 5천 명 유출)
  
  
• KB국민은행 고객: 직원용 모바일 업무지원 시스템을 통해 영업점·상담 업무가 처리된 이력이 있는 경우 대상에 포함될 수 있습니다. (119명 규모, 금융거래 정보는 접근 불가)
  
  
• 하나은행 고객: 영업지원시스템(ODS)을 통한 영업점 상담·업무 처리 이력이 있는 경우 대상에 포함될 수 있습니다. (89명 규모)
  
  
• BNK부산은행 관련자: 이번에 확인된 유출 대상은 외주 개발직원 11명입니다. 일반 고객이 외주 직원을 통해 상담이나 업무 처리를 받았다는 이유로 유출 대상에 해당한다고 볼 근거는 없습니다(출처: 매일경제, 2026-10-02).
  
  
• 우리은행·NK농협은행 고객: 공격은 확인됐으나 정보 유출로는 이어지지 않았으므로, 별도 조치가 필요한 단계는 아닙니다.

위 조건에 해당하더라도 반드시 유출 대상이라는 의미는 아니며, 정확한 확인은 해당 은행의 공식 공지나 고객센터를 통해서만 가능합니다.

금융당국 대응과 이억원 금융위원장 발언

은행권 연쇄 해킹이 확인된 직후 금융당국은 곧바로 비상 체계를 가동했습니다. 2026년 10월 2일 금융위원회는 신진창 사무처장 주재로 긴급 상황대응 회의를 열고 금융권 전반에 보안 시스템 점검을 주문했습니다(출처: 미주중앙일보, 2026-10-02). KB국민은행과 하나은행의 정보 유출 사실이 알려진 직후 나온 조치로, 5대 시중은행을 포함한 금융권 전체를 대상으로 한 점검이었습니다.

이틀 뒤인 10월 4일에는 이억원 금융위원장이 직접 나서 “AI를 활용한 공격 가능성을 배제할 수 없다”고 발언하며 금융권에 최고 수준의 경각심을 주문했습니다(출처: 연합뉴스, 2026-10-04). 신한은행 공격 추정 서버에서 중국어 기반 자율형 침투테스트 도구로 추정되는 ‘ARTEX AI’ 관련 문자열이 발견된 시점과 맞물린 발언이어서, 이번 사태를 단순한 개별 은행의 보안 사고가 아니라 금융권 전반의 구조적 위협으로 보고 있다는 신호로 해석됩니다.

다만 당국의 발언에서 분명히 해둘 부분이 있습니다. ARTEX AI가 실제 공격에 사용됐는지는 아직 확인되지 않았습니다. 공격 추정 서버에서 관련 문자열이 나왔다는 사실과, 그 도구가 실제로 이번 해킹에 동원됐다는 사실은 다른 차원의 문제입니다. 금융위원장의 발언도 “가능성을 배제할 수 없다”는 수준이지 “AI 도구가 공격에 사용됐다”고 단정한 것은 아닙니다. 이 부분은 아직 조사가 진행 중인 사안으로, 확정된 결론이 나오기 전까지는 가능성과 확정 사실을 구분해서 받아들일 필요가 있습니다.

이럴 땐 이렇게 하세요: 금융당국이 전 은행권에 보안 점검을 지시한 상황이므로, 거래 중인 은행에서 추가 점검이나 시스템 점검 안내 문자가 오더라도 당황할 필요는 없습니다. 다만 점검을 빙자한 피싱 문자나 전화가 함께 기승을 부릴 수 있는 시기이므로, 은행이 보낸 공식 안내인지 먼저 은행 고객센터나 앱을 통해 직접 확인하는 것이 안전합니다.

내 정보 보호를 위해 지금 확인할 것

이번 사태로 고객 정보 유출이 확인된 규모는 신한은행 약 2만 5천 명, KB국민은행 119명, 하나은행 89명입니다(출처: 연합뉴스·미주중앙일보, 2026-10-02). 이와 별도로 BNK부산은행에서는 외주 개발직원 11명의 개인정보 유출이 확인됐습니다(출처: 매일경제, 2026-10-02). 반면 우리은행과 NH농협은행은 공격 시도는 있었으나 실제 정보 유출로는 이어지지 않은 것으로 파악됐습니다.

자신이 피해 대상인지 궁금하다면 가장 확실한 방법은 거래 은행의 공식 공지나 고객센터를 통해 직접 확인하는 것입니다. 유출 규모가 공개된 은행이라도 전체 고객이 아니라 특정 서비스나 시스템을 통해 개인정보가 처리된 일부 고객(대출모집인 전용 서비스 이용자, 특정 영업지원시스템 관련 고객 등)으로 범위가 제한된 경우가 많으므로, 뉴스에 나온 숫자만 보고 자신의 해당 여부를 단정할 수 없습니다.

지금 당장 할 수 있는 조치는 크게 두 가지로 나뉩니다.

다단계 인증(MFA) 설정 확인: MFA를 도입하면 아이디·비밀번호 탈취를 이용한 계정 공격의 성공률은 99% 이상 줄일 수 있는 것으로 알려져 있습니다. 은행 앱이나 인터넷뱅킹에서 로그인 시 OTP·생체인증·문자인증 등 2단계 이상 인증이 켜져 있는지 먼저 확인하는 것이 우선입니다. 설정돼 있지 않다면 지금 바로 활성화하는 것이 가장 단순하면서도 효과가 큰 조치입니다.

유출 공지와 피해 보상 절차 확인: 거래 은행에서 유출 공지가 나왔다면 은행 홈페이지나 고객센터를 통해 본인이 대상에 포함됐는지, 포함됐다면 어떤 정보가 유출됐는지(이름·전화번호·주소·암호화된 주민등록번호 등) 확인할 수 있습니다. 다만 이번 사고들은 공통적으로 고객의 금융 정보(계좌 비밀번호, 공동인증서 등)에는 접근하지 못한 것으로 파악되고 있어, 유출된 정보가 개인·신용정보 수준(이름, 연락처, 주소 등)에 그친 경우가 많습니다. 그렇다 하더라도 유출된 연락처 정보를 이용한 보이스피싱이나 스미싱 시도가 뒤따를 수 있으므로, 은행이나 수사기관을 사칭한 전화·문자에 특히 주의할 필요가 있습니다.

이럴 땐 이렇게 하세요: 거래 은행에서 유출 공지를 받았다면 공지에 안내된 공식 창구로 직접 연락해 피해 범위와 보상 절차를 확인하고, 공지를 받지 않았더라도 이번 기회에 MFA 설정 여부를 점검해두는 것이 좋습니다. 유출 피해나 보상과 관련해 법적 다툼의 소지가 있다고 판단되면 개인이 임의로 판단하기보다 소비자보호기관이나 법률 전문가의 상담을 받는 것이 안전합니다.

자주 묻는 질문