2만5천명 정보 유출, 무엇이 새어 나갔나
신한은행에서 대출 고객 2만5천여 명의 개인정보가 유출되는 사고가 발생했습니다. 유출된 항목에는 이름과 전화번호는 물론 연 소득, 대출 한도 같은 민감한 금융 정보가 포함됐는데요. 일부 고객의 주민등록번호 66건과 온라인 본인 확인에 쓰이는 연계정보(CI) 97건도 함께 빠져나갔습니다. 이번 사고는 지난 29일 오전부터 30일 새벽까지 최소 15시간 이상 이어진 것으로 파악됐습니다.
공격은 대출모집인이 이용하는 모바일 간편 조회 서비스를 통해 이뤄졌습니다. 해커는 외부에서 확보한 아이디와 비밀번호를 무작위로 입력하는 크리덴셜 스터핑 수법을 사용했고, AI 에이전트가 이 과정을 자동화했다는 정황이 포착됐습니다. 신한은행은 즉시 외부 IP를 차단하고 해당 서비스를 중단했으며, 정상혁 은행장은 사과문을 통해 손해 전액 보상을 약속했습니다. 금융감독원은 유출 피해 규모가 더 늘어날 수 있다고 경고했습니다.
대통령 경고 직후 터진 사고, 배경은
이번 사고는 이재명 대통령이 개인정보 유출 기업에 과징금과 형사처벌을 경고한 다음 날 발생해 더욱 주목받고 있습니다. 대통령은 소셜미디어를 통해 비용 절감을 위해 개인정보 보호를 소홀히 한 기업은 강력히 처벌하겠다고 밝혔는데요. 사실 금융권의 개인정보 유출은 이번이 처음이 아닙니다.
지난 7월 우리은행에서 외부 개발업체 직원 과실로 1만7천여 건의 정보가 유출됐고, 지난해에는 롯데카드에서 297만 명의 신용정보가 새어 나가 50억 원의 과징금이 부과됐습니다. 전문가들은 AI 기반 공격이 갈수록 정교해지는데 보안 체계는 이를 따라가지 못하고 있다고 지적합니다. 질적인 보안 전환이 시급하다는 겁니다. 특히 대출모집인 전용 서비스가 공인인증서 없이 간편 조회만으로 접속할 수 있도록 설계된 점이 취약점으로 꼽힙니다. 보안 전문가들은 AI가 자동으로 취약점을 탐색하고 공격하는 시대에는 기존의 정형화된 보안으로는 대응이 어렵다고 말합니다.
금융당국 조사와 향후 전망
금융감독원은 신한은행에 대한 긴급 현장 조사에 착수했습니다. IT검사국과 은행검사2국을 투입해 전자금융거래법상 안전성 확보 의무 위반 여부를 살피고 있는데요. 조사 결과에 따라 신한은행에 대한 징계 수위가 결정될 예정이며, 최종 결과까지는 수개월이 걸릴 전망입니다. 금융위원회도 긴급 대응회의를 소집하고 금융보안원과 함께 사고 경위를 파악 중입니다.
신한은행은 개인신용정보 보호 체계를 원점에서 재점검하고 업무 프로세스 개선과 임직원 교육을 강화하겠다고 밝혔습니다. 고객들은 홈페이지와 신한 슈퍼SOL 앱에서 유출 여부를 확인할 수 있습니다. 이번 사건을 계기로 금융권 전반의 AI 대응 보안 체계가 재정비될지 관심이 쏠립니다.