새마을금고 고객정보 유출과 보험 서비스 일시 중단

무슨 일인가

유출 항목에는 고객번호, 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 휴대전화·집전화·회사전화 번호가 포함됐습니다. 집주소와 회사주소, 이메일주소, 잔액도 유출 항목으로 확인됐습니다. 단순히 고객의 신원을 나타내는 정보뿐 아니라 계좌와 잔액에 관한 금융정보까지 포함된 사고입니다.

다만 고객마다 유출된 항목에는 차이가 있다고 중앙회는 설명했습니다. 전체 유출 항목 목록에 잔액이나 주민등록번호가 들어 있다는 사실이 모든 대상자의 해당 정보가 빠져나갔다는 뜻은 아닙니다. 중앙회는 문자메시지로 대상자에게 개별 통지하고, 홈페이지에서 본인의 유출 여부와 구체적인 항목을 확인할 수 있도록 했다고 밝혔습니다.

새마을금고중앙회는 10월 13일 공제 홈페이지에 개인·신용정보 유출 사실을 알렸습니다. 10월 10일 발생한 해킹으로 현재까지 확인된 유출 대상은 400명대이며, 중앙회는 대상 고객에게 문자메시지로 안내하고 있습니다. 유출 사실은 확인됐지만 정확한 피해 규모와 추가 유출 여부는 계속 조사하고 있어, 현재 파악된 인원이 최종 규모로 확정된 것은 아닙니다.

금융당국은 금융회사들이 수행한 보안 점검 결과를 취합해 대응 상황을 살필 계획입니다. 점검표는 공격자 IP 차단, 침해 시도와 피해 확인, 외부에 노출된 정보기술 자산·서비스의 취약점 점검 등 12개 항목으로 구성됐습니다. 이용자 확인 절차 강화와 실시간 보안 감시·탐지 체계 운영도 포함돼 있어, 특정 접속 주소를 막았는지뿐 아니라 침입을 알아차리고 대응할 체계가 작동하는지도 점검 대상입니다.

10월 10일 오후 2시 이후 중앙회 메인 홈페이지가 아닌 공제보험 고객용 웹페이지의 취약점이 공격받았다는 보도가 나왔습니다. 중앙회는 유출을 인지한 뒤 공격에 쓰인 인터넷주소와 우회 접속 주소를 차단하고, 홈페이지의 보안상 약점을 점검해 보완했다고 설명했습니다. 추가 피해를 막기 위해 보험 앱과 웹서비스도 일시 중단했으며, 사전 안내를 받지 못한 고객들이 불안을 호소했다는 보도가 나왔습니다.

중앙회가 9월 말 신한은행 고객정보를 빼낸 공격자와 같은 인터넷주소(IP)의 접근을 막은 뒤, 새로운 IP 수십 개를 이용한 공격이 이어졌다는 보도가 나왔습니다. 이번 공격에 쓰인 주소는 앞선 금융권 해킹에서 확인된 28개 주소와 다르다고 알려졌지만, 외부 업무용 웹페이지를 공격한 방식은 비슷한 것으로 추정된다는 보도도 나왔습니다. 접속 주소의 차이와 공격 방식의 유사성은 구분해야 하며, 중앙회 관계자는 침입 경로와 AI 사용 여부를 조사하고 있다고 밝혔습니다.

배경과 경위

사고 발생 시점과 중앙회가 이를 알아차린 시점에는 차이가 있습니다. 중앙회 설명으로는 공격이 발생한 때는 10월 10일 오후이고, 유출을 인지한 때는 10월 12일 오후입니다. 중앙회는 10월 13일 한국인터넷진흥원에 공격과 피해 사실을 신고하고, 감독기관인 행정안전부에도 보고했다고 밝혔습니다.

10월 초에는 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 해킹으로 고객정보가 유출됐으며, 피에프씨테크놀로지스(PFCT)와 모우다에서도 해킹 피해가 파악됐다는 보도가 나왔습니다. OK저축은행은 10월 12일 대출 신청 웹페이지에서 비정상적인 접근을 발견해 183명의 정보가 유출됐을 가능성을 금융당국에 신고했습니다. 실제 유출을 파악했다는 보도도 나왔지만, OK저축은행은 외부 보안업체와 실제 유출 여부를 조사하고 있다고 밝혀 새마을금고의 확인된 유출 인원과 같은 기준으로 볼 수 없습니다.

금융감독원과 금융보안원은 금융권에 공격자 IP와 필요한 조치를 담은 점검표를 보내 자체 점검 결과를 보고하도록 했습니다. 은행·카드사는 10월 6일, 나머지 업권은 10월 8일까지 점검을 마쳤다고 금융당국은 설명했습니다. 점검 이후에도 추가 사고 신고가 이어져, 금융위원회는 10월 14일 오후 관계기관과 보안 조치 현황과 후속 대응 방안을 논의할 계획입니다.

누가 무엇을 주장하나

새마을금고중앙회

중앙회는 이번 사고를 엄중하게 받아들이며 개인·신용정보 보호 체계와 관리 절차 전반을 점검하겠다고 밝혔습니다. 보안 시스템을 강화해 유사 사고의 재발을 막겠다고 설명했습니다. 유출로 고객 피해가 발생하면 전액 보상하겠다고 약속했습니다.

금융당국

금융당국은 추가 사고가 앞선 사고와 다른 공격자에 의한 것으로 추정하면서도, 기존 금융권 해킹과의 연관성을 조사하고 있다고 밝혔습니다. 금융당국은 AI 공격에 AI로 대응한다는 기조로 망 분리 규제 완화 방침을 유지하고 있으며, AI 도구를 이용한 해킹의 재발을 막을 방안을 논의할 계획입니다. 다만 해킹 사고로 연기된 2차 규제 완화 대상 기관 선정 등 구체적인 추진 일정은 10월 14일 회의에서 논의되지 않을 전망입니다.

확인된 사실과 엇갈리는 주장

용어 풀이

AI 에이전트

인공지능이 주어진 목표에 따라 작업을 판단하고 수행하도록 만든 프로그램을 뜻합니다.

망 분리

외부 인터넷과 내부 업무망을 분리해 외부 침입이 내부 시스템으로 이어지는 것을 줄이는 보안 방식입니다.

앞으로 확인할 것

• 금융위원회는 10월 14일 오후 신진창 사무처장 주재로 금융감독원·금융보안원 등 관계기관 및 관계부처와 회의를 열어, 취합된 보안 점검 결과와 해킹 대응 방안을 논의할 예정입니다.

갱신 기록

1. 2026년 10월 14일공제보험 고객용 웹페이지의 취약점이 공격 경로로 지목됐고 보험 앱과 웹서비스가 일시 중단됐다는 보도를 반영했습니다. (기사 37건, 매체 15곳 기준)
2. 2026년 10월 14일금융위원회의 10월 14일 보안 점검회의 계획과 새마을금고의 이전 공격 차단·재공격 경위를 반영했습니다. (기사 33건, 매체 15곳 기준)
3. 2026년 10월 13일리포트를 처음 작성했습니다. (기사 28건, 매체 15곳 기준)