이번 금융권 유출은 어디가 뚫린 건가요?

여러 금융사에서 인터넷·모바일뱅킹 자체가 아니라 대출모집인 서비스, 직원용 업무지원 시스템, 영업지원 시스템, 외부 웹서버 같은 업무용 접점이 공격 경로로 확인됐습니다. 보안 점검의 범위를 고객이 직접 쓰는 서비스에만 두어서는 안 된다는 뜻입니다.

2026년 10월 5일까지 공개된 내용을 보면 신한은행 약 2만5천 명, KB국민은행 119명, 하나은행 89명, BNK부산은행 11명의 정보 유출이 확인됐고, 예가람저축은행에서도 약 4만 명 규모의 피해가 알려졌습니다. 신한은행은 대출모집인용 서비스, KB국민은행은 직원용 모바일 업무지원 시스템, 하나은행은 영업지원시스템이 공격 경로로 지목됐습니다.

금융당국은 여러 사고에서 같은 공격자 IP가 발견되고 AI 기반 자동화 도구가 활용됐을 가능성을 보고 조사하고 있습니다. 다만 같은 IP나 도구 흔적만으로 동일한 공격자나 조직의 소행이라고 단정할 단계는 아닙니다. 기업 입장에서는 공격 주체보다 먼저 외부에서 접근 가능한 시스템과 계정이 어디까지 열려 있었는지를 확인해야 합니다.

이번 사고가 보여 준 공통점은 대형 금융사도 업무용 외부 접점에서 예외가 아니었다는 점입니다. 점검 기준을 “우리 고객 서비스”가 아니라 “우리 회사 이름으로 외부에 열려 있는 모든 시스템과 계정”으로 넓혀야 합니다.

사고가 나면 기업은 무엇부터 해야 하나요?

가장 먼저 해야 할 일은 사고 인지 시점을 고정하고, 정보주체 통지와 개인정보위 신고가 각각 필요한지 나누어 판단하는 것입니다. 2026년 9월 11일부터는 실제 유출 사실뿐 아니라 시행령이 정한 특정한 “유출 가능성” 단계에도 72시간 통지 의무가 생겼습니다.

따라서 “유출이 확정되지 않았으면 아무것도 하지 않아도 된다”는 것도, 반대로 “의심만 들면 모든 사건을 72시간 안에 통지해야 한다”는 것도 정확하지 않습니다. 가능성 통지는 개인정보처리시스템 등에 불법 접근이 발생해 유출이 의심되지만 대상 정보주체를 특정하기 곤란한 경우, 또는 일부 개인정보의 위법한 거래 등 유출 사실이 확인돼 다른 정보주체의 정보도 유출됐을 수 있다고 인정되는 경우에 적용됩니다.

가능성 통지에는 유출 가능성이 있는 항목, 의심·인정된 시점과 경위, 피해 최소화 방법, 권리 행사 방법, 실제 유출 여부가 확정되면 추가 통지하겠다는 사실을 담아야 합니다. 이후 실제 유출이 없었다는 사실이 확인되면 그 사실도 즉시 알려야 합니다.

제재는 어디까지 갈 수 있나요?

일반적인 과징금 상한은 전체 매출액의 3%이지만, 2026년 9월 11일부터는 반복적이거나 대규모인 중대한 위반에 대해 전체 매출액의 10%까지 부과할 수 있는 특례가 시행되고 있습니다. 다만 모든 개인정보 유출 사고에 10%가 적용되는 것은 아닙니다.

반대 방향의 제도도 있습니다. 개인정보 보호를 위해 예산·인력·설비·장치에 투자하고, 대표자와 CPO가 실질적으로 보호체계를 운영한 정도는 과징금 감경에서 고려됩니다. 결국 침해사고가 발생했는지만 보는 것이 아니라 사고 전에 어떤 예산을 투입했고, 무엇을 점검했으며, 어떤 보고와 개선이 있었는지가 제재 단계의 자료가 됩니다.

금융회사라면 여기서 끝나지 않습니다. 유출 정보가 개인신용정보에 해당하면 신용정보법상 누설통지 의무가 함께 검토되고, 전자적 침해행위로 전자금융기반시설에 침해사고가 발생한 경우에는 전자금융거래법상 금융위원회 통지와 사고 원인 분석·확산방지 조치도 문제됩니다. 금융권 사고를 개인정보 보호법의 72시간 규정 하나로만 판단해서는 안 되는 이유입니다.

대표자와 보호책임자의 책임은 어떻게 달라졌나요?

2026년 9월 11일부터 사업주 또는 대표자가 개인정보의 안전한 처리와 정보주체 권리 보호에 대한 최종 책임자로 법에 명시되었습니다. 대표자가 개인정보 업무를 직접 처리한다는 뜻이 아니라, 필요한 전문 인력과 예산을 지원하고 관리체계가 실제로 작동하도록 총괄할 책임이 분명해졌다는 의미입니다.

개인정보 보호책임자(CPO)의 역할도 강화됐습니다. 법은 개인정보 보호에 필요한 전문인력 관리와 예산 확보, 대표자·이사회 보고, 정기적인 실태 조사와 개선, 내부통제시스템 구축 등을 CPO 업무로 명시합니다. 일정 기준에 해당하는 개인정보처리자는 CPO의 지정·변경·해제에 이사회 의결을 거치고 개인정보위에 신고해야 합니다.

시행 전에 이미 CPO를 지정한 사업자 중 새 기준에 해당하는 곳은 2026년 9월 11일부터 6개월 안에 신고해야 합니다. 향후 사고가 발생했을 때는 “CPO가 있었다”는 사실보다 예산과 인력에 관한 결정, 취약점 개선 요청, 대표자·이사회 보고가 실제로 이루어졌는지를 기록으로 보여주는 것이 중요합니다.

위탁업체가 뚫렸는데 우리 책임인가요?

사고가 수탁자 시스템에서 발생했다고 해서 위탁자의 책임 검토가 끝나는 것은 아닙니다. 개인정보 보호법은 위탁자에게 수탁자가 개인정보를 안전하게 처리하는지 교육하고 감독할 의무를 두고 있고, 관리·감독을 소홀히 해 수탁자가 법을 위반한 경우 과징금 대상도 될 수 있습니다.

이번 금융권 사고에서 대출모집인, 직원, 외주 개발 인력이 이용하는 시스템이 공격 경로로 확인된 점을 눈여겨봐야 합니다. 계약서에 안전조치 조항을 넣어 둔 것만으로는 부족하고, 실제 점검을 했는지, 발견된 취약점에 어떤 시정조치를 했는지, 계약 종료 후 계정과 권한을 회수했는지가 남아 있어야 합니다.

점검은 시스템 목록화부터 시작하는 편이 좋습니다. 우리 회사 이름으로 외부에 열려 있는 페이지와 서버가 몇 개인지, 각각 누가 접속하는지, 어떤 개인정보를 볼 수 있는지, 퇴사자·계약 종료자 계정이 남아 있지 않은지를 확인해야 합니다. 처리방침에 수탁자를 어떻게 적어야 하는지는 개인정보 처리방침 작성 기준에서 따로 정리했습니다.

유출 피해를 입은 개인은 무엇을 할 수 있나요?

먼저 통지 내용을 보관하고 어떤 항목이 빠져나갔는지 확인해야 합니다. 개정법은 유출 통지에 손해배상 청구와 분쟁조정 신청 등 피해구제 방법을 함께 알리도록 하고 있어, 통지서 자체가 대응의 출발점이 됩니다.

주민등록번호나 연계정보처럼 바꾸기 어려운 항목이 포함되었다면 명의도용 방지 조치를 서두르는 편이 좋습니다. 금융권 사고에서는 대출 산출한도나 연소득 같은 신용정보가 함께 빠져나가는 경우가 있어, 보이스피싱이나 명의도용 대출로 이어질 위험을 함께 봐야 합니다.

손해배상은 개인정보 보호법에 근거가 있습니다. 개인정보처리자가 고의나 과실로 법을 위반해 손해가 발생하면 배상 책임을 지고, 손해액 입증이 어려운 경우를 위한 법정손해배상 제도도 마련되어 있습니다. 같은 사고의 피해자가 다수라면 집단분쟁조정을 활용하는 방법도 있습니다.

지금 점검해야 할 것은 무엇인가요?

사고가 난 뒤에 무엇을 할지보다, 사고 전에 무엇을 해 두었는지가 제재 수위를 가릅니다. 개정법이 투자와 거버넌스를 감경 요소로 둔 이상 점검의 기록 자체가 방어 자료가 됩니다.