7개 금융사 연쇄 해킹에 비상…“알고도 뚫리면 엄정 문책”

신한은행과 저축은행 등 금융회사 7곳이 외부 웹페이지 취약점을 노린 연쇄 해킹 공격을 받자 금융당국이 전 금융권을 상대로 긴급 보안 점검을 명령했다. 이미 알려진 위협 정보를 방치하다 추가 피해를 낸 금융사는 관련 법령에 따라 엄정 문책하겠다는 방침도 함께 내놓았다.

금융위원회는 2026년 10월 4일 정부서울청사에서 금융감독원과 함께 금융위원장 주재로 전 금융권 긴급 점검회의를 열었다. 회의에는 이억원 금융위원장과 이찬진 금융감독원장, 박상원 금융보안원장을 비롯해 과학기술정보통신부, 개인정보보호위원회, 경찰청, 한국인터넷진흥원 관계자와 7개 금융업권 협회·중앙회장, 침해사고가 발생한 금융사 7곳의 대표가 참석했다.

이번 조치는 대출모집인 조회 페이지와 임직원 지원 시스템 등 관리 사각지대를 노린 해킹이 금융권 전반으로 확산한 데 따른 대응이다. 앞서 9월 30일 신한은행에서 대출모집인 전용 서비스가 해킹돼 고객 약 2만5,000명의 이름과 전화번호, 대출한도 등이 유출됐다. 이어 KB국민은행 직원용 모바일 시스템 119명, 현대캐피탈 모집인 146명, BNK부산은행 11건을 비롯해 예가람저축은행 고객 약 4만 명 추정치와 웰컴저축은행, 하나은행 등 7개사에서 잇따라 침해 사고가 확인됐다.

금융당국은 해킹에 쓰인 공격자 공통 인터넷프로토콜(IP) 25개와 위협 정보를 전 금융권 약 500개사에 공유하고 자체점검 체크리스트를 배포했다. 금융사들은 외부 노출 IT 자산과 서비스, 인증·접근통제, 침해탐지 체계를 전면 재점검해야 한다. 점검 결과 보고서 제출 기한은 은행·카드사가 10월 6일까지, 증권·보험·저축은행·전자금융업자는 10월 8일까지다.

금융당국은 위협 정보가 공유된 이후 발생하는 보안 사고에 무관용 원칙을 적용할 계획이다. 이억원 금융위원장은 회의에서 "대출모집인, 임직원 등이 업무상 편의를 위해 사용하는 외부 웹페이지, 서버 등 상대적으로 관리 관심이 덜했던 영역이 공격 대상으로 활용됐다"며 "이미 공유된 공격정보와 사고사례가 있음에도 점검과 대응을 소홀히 하여 유사한 사고가 발생하는 경우에는 관련 법령에 따라 엄정히 책임을 묻겠다"고 말했다.

금융회사의 보안 의무 위반에 따르는 법적 책임도 커질 전망이다. 현행 전자금융거래법 제21조는 금융회사가 금융위원회가 정하는 안전성 확보 기준을 준수하도록 규정한다. 신용정보법 제42조의2와 개인정보 보호법 제34조의2는 안전조치 의무를 어겨 개인정보가 유출된 경우 관련 매출액의 100분의 3 이하에 해당하는 과징금을 부과할 수 있도록 정하고 있다.

금융당국은 10월 14일 금융위 사무처장 주재로 제2차 긴급 상황대응 회의를 열어 관계기관과 금융회사의 후속 조치 이행 상황을 재점검할 예정이다.