2026년 금융권 AI 해킹 및 정보유출 사태/현대캐피탈

2026년 금융권 AI 해킹 및 정보유출 사태/현대캐피탈 문서는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 현대캐피탈에서 발생한 사이버 침해 및 개인정보 유출 사고의 경과, 피해 규모, 공격 방식과 대응 등을 다룬다.

현대캐피탈에서는 2026년 9월 27일 오전 6시 37분부터 24분간 주택대출 모집인 조회페이지를 대상으로 한 외부 공격이 발생해 주택대출 모집인 146명의 개인정보 일부가 유출됐다. 현대캐피탈은 자체 시스템으로 공격을 탐지하지 못했으며, 금융보안원이 공유한 공격 IP를 대조하는 과정에서 공격 발생 130시간 31분 뒤인 10월 2일 오후 5시 8분경 사고를 인지했다.

개요

현대캐피탈은 2026년 10월 3일 자료를 내고 해외 인터넷주소(IP)를 통한 주택대출 모집인 조회페이지 공격으로 주택대출 모집인 146명의 일부 개인정보가 유출됐다고 밝혔다.

MBC 보도에 따르면 실제 공격은 9월 27일 오전 6시 37분 발생했다. 손명수 더불어민주당 의원실이 공개한 현대캐피탈의 금융감독원 사고 보고서에 따르면 공격은 24분간 이어졌으며, 현대캐피탈이 사고를 인지한 것은 공격 발생 후 130시간 31분이 지난 10월 2일 오후 5시 8분이었다.

현대캐피탈에 대한 공격은 최초 신고사인 신한은행에 대한 공격(9월 28일 오후 6시 4분)보다 35시간 27분 앞섰다.

공격 대상이 된 페이지는 고객이 현대캐피탈 주택대출 모집인의 공개 정보를 조회하는 외부 웹페이지였다. 현대캐피탈은 보안점검 과정에서 AI를 활용한 정보조회 공격으로 개인정보가 유출된 사실을 확인했다고 설명했다.

유출된 정보에는 해당 웹페이지를 통해 원래 일반에 공개되던 이름, 휴대전화번호, 이메일주소, 여신금융협회 등록번호뿐 아니라 일반에 공개되지 않는 내부 모집인번호와 주민등록번호가 포함됐다. 국회에 제출된 사고 보고서 기준으로는 성별도 유출 항목에 포함됐다.

현대캐피탈은 일반 고객의 개인정보 유출이나 내부 시스템에 대한 접근 및 공격은 확인되지 않았다고 밝혔다.

10월 4일 금융당국의 후속 조사에서는 현대캐피탈을 포함해 최근 침해사고가 확인된 7개 금융회사에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견된 것으로 파악됐다. 금융당국은 공격자가 IP를 변경하면서 AI 도구를 활용해 다수 금융회사를 대상으로 대량·자동화된 공격을 수행한 정황이 있다고 밝혔다.

다만 은행권을 공격한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 다른 것으로 파악됐으며, 현대캐피탈 공격에서 ARTEX가 직접 사용됐다는 사실은 공개적으로 확인되지 않았다.

10월 14일 금융위원회가 밝힌 침해사고 발생 금융회사 16곳에는 여신전문금융업권에서 현대캐피탈과 산은캐피탈 두 곳이 포함됐다.

피해 내용

현대캐피탈이 확인한 개인정보 유출 대상은 주택대출 모집인 146명이다.

구분	확인된 내용
피해자	주택대출 모집인 146명
이름	유출 확인, 원래 조회페이지에서 공개되는 정보
휴대전화번호	유출 확인, 원래 조회페이지에서 공개되는 정보
이메일주소	유출 확인, 원래 조회페이지에서 공개되는 정보
여신금융협회 등록번호	유출 확인, 원래 조회페이지에서 공개되는 정보
성별	유출 확인, 일반에 공개되지 않는 정보
내부 모집인번호	유출 확인, 일반에 공개되지 않는 정보
주민등록번호	유출 확인, 일반에 공개되지 않는 정보
일반 고객 개인정보	현대캐피탈 발표 기준 유출되지 않은 것으로 확인

현대캐피탈이 밝힌 146명은 정보유출이 확인된 주택대출 모집인의 수이며, 각 모집인에 대해 위 항목이 모두 유출됐는지 여부 등 개인별 세부 유출 내역은 공개되지 않았다.

특히 주민등록번호와 내부 모집인번호는 해당 조회페이지에서 일반에 공개되는 정보가 아니었음에도 외부로 유출된 것으로 확인됐다.

공격 대상

공격 대상은 현대캐피탈의 주택대출 모집인 조회페이지였다.

해당 페이지는 고객이 현대캐피탈의 주택대출 모집인에 관한 공개 정보를 확인하기 위해 외부에서 이용할 수 있도록 제공된 웹페이지였다.

현대캐피탈은 이번 사고에서 내부 시스템에 대한 접근이나 공격은 이뤄지지 않았다고 밝혔다. 이에 따라 공개된 사고 범위는 외부에 공개된 조회페이지를 통한 정보유출로 한정됐다.

사건 경과

일시	내용
2026년 9월 27일 06:37경	현대캐피탈 주택대출 모집인 조회페이지를 대상으로 한 외부 공격이 시작됐다. 공격은 24분간 이어졌다.
9월 28일 18:04	최초 신고사인 신한은행에 대한 공격이 시작됐다. 현대캐피탈 공격은 이보다 35시간 27분 앞섰다.
10월 2일 17:08경	현대캐피탈이 금융보안원이 공유한 공격 IP를 대조하는 과정에서 해외 IP를 통한 주택대출 모집인 조회페이지 공격 사실을 파악했다. 공격 발생 후 130시간 31분이 지난 시점이었다.
10월 2일	보안점검 과정에서 주택대출 모집인 146명의 일부 개인정보가 유출된 사실을 확인했다.
10월 2일 17:40	현대캐피탈이 유출이 발생한 페이지를 차단했다.
10월 2일 20:45	현대캐피탈이 조회 정보에서 주민등록번호를 제거했다.
10월 2일	공격 IP를 차단하고 사고대응 전담 태스크포스(TFT)를 구성했다.
10월 3일 15:30경	현대캐피탈이 금융감독원과 한국인터넷진흥원(KISA)에 사고를 신고했다.
10월 3일	현대캐피탈이 사고 사실과 주택대출 모집인 146명의 일부 개인정보 유출 사실을 공개했다.
10월 4일	금융당국이 전 금융권 긴급 점검회의를 개최했다. 금융당국은 현대캐피탈을 포함한 7개 금융회사의 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐으며, 공격자가 IP를 변경하면서 AI 도구를 활용해 다수 금융회사를 대상으로 자동화된 공격을 수행한 정황이 있다고 밝혔다.
10월 6일	손명수 의원실이 현대캐피탈의 사고 보고서를 공개하고 공격 인지 지연을 지적했다.
10월 14일	금융위원회가 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사 16곳을 발표했다. 현대캐피탈도 여기에 포함됐다.

공격 방식

현대캐피탈은 이번 사고를 해외 IP를 이용해 외부에 공개된 주택대출 모집인 조회페이지를 대상으로 수행된 정보조회 공격이라고 설명했다.

현대캐피탈은 보안점검 과정에서 해당 공격에 AI가 활용된 것으로 파악했다고 밝혔다.

공격 지속 시간은 9월 27일 오전 6시 37분부터 24분간으로 보고됐다. 그러나 2026년 10월 22일 현재 다음과 같은 구체적인 기술적 사항은 공개되지 않았다.

• 공격에 이용된 구체적인 취약점
• 인증 또는 접근통제 우회 여부
• 주민등록번호와 내부 모집인번호가 조회 가능했던 원인
• 공격자가 사용한 구체적인 요청 방식
• 공격 요청 횟수와 속도
• 사용된 AI 모델 또는 AI 에이전트
• ARTEX가 현대캐피탈 공격에 직접 사용됐는지 여부

특히 일반 사용자에게 공개되지 않는 주민등록번호와 내부 모집인번호가 외부 조회페이지에 대한 공격을 통해 유출될 수 있었던 구체적인 원인은 공개되지 않았다.

10월 4일 금융당국은 최근 금융회사 침해사고를 분석해 본인확인이 누락된 정보조회 서비스, 모바일 단말기 접근통제가 누락되거나 권한 없는 접근이 가능한 직원 업무지원 서비스, 알려진 취약점을 통해 악성코드가 설치되고 고객정보가 포함된 로그파일이 탈취된 홈페이지 서비스 등 크게 세 가지 유형의 취약 사례를 파악했다고 밝혔다.

다만 공개된 자료만으로 이 가운데 특정 유형을 현대캐피탈 사고의 구체적인 침입 원인으로 단정할 수는 없다.

AI 활용 및 ARTEX 관련 정황

현대캐피탈은 보안점검 과정에서 이번 사고가 AI를 활용한 정보조회 공격에 의해 발생한 것으로 확인했다고 설명했다.

이번 사고가 알려지기 직전 신한은행·KB국민은행·하나은행·BNK부산은행 등 여러 금융회사에서 AI를 활용한 것으로 추정되는 공격과 개인정보 유출 사고가 잇따라 확인됐다.

또한 금융보안원은 신한은행 등 은행권 연쇄 공격을 조사하는 과정에서 AI 기반 자율 침투테스트 시스템 ARTEX가 활용된 흔적을 확인했다. 금융보안원 관계자는 신한은행에서 확보한 로그와 공격자 IP를 역추적한 결과 ARTEX 활용 흔적이 발견됐으며, 여러 은행에서 일부 공격 IP와 공격 수법, 노린 취약점 및 ARTEX에서 발신되는 특징적인 데이터가 공통적으로 확인됐다고 밝혔다.

10월 4일 금융당국의 후속 조사에서는 현대캐피탈을 포함해 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행 등 7개 금융회사의 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견된 것으로 파악됐다.

다만 은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 달랐으며, 금융당국은 공격 수법이 유사하고 공격자가 IP를 변경하면서 지속적으로 공격한 것으로 파악했다. 금융당국은 공격자가 AI 도구를 활용해 다수 금융회사를 대상으로 대량·자동화된 공격을 수행했을 가능성이 있다고 보고 있다.

10월 6일에는 현대캐피탈을 포함한 7개 피해 금융회사의 공격 IP에서도 ARTEX 관련 흔적이 확인돼 경찰이 조사 중인 것으로 전해졌다. 그러나 현대캐피탈에 대한 실제 침투 과정에서 ARTEX가 직접 사용됐다는 사실은 2026년 10월 22일 현재 공개적으로 확인되지 않았다.

현대캐피탈 측은 "금융보안원에서 공지한 IP와 동일 IP로 공격받았다"고 밝혔다. 따라서 현대캐피탈 사고는 다른 금융회사 침해사고와 공격 인프라 측면에서 연관성이 확인되고 있지만, 현대캐피탈 공격에 사용된 구체적인 AI 도구와 ARTEX 사용 여부는 구분할 필요가 있다.

현대캐피탈 대응

현대캐피탈은 주택대출 모집인의 개인정보가 외부로 유출된 사실을 확인한 직후 다음과 같은 조치를 시행했다고 밝혔다.

• 공격 IP 차단
• 공격 대상이 된 주택대출 모집인 조회페이지 차단
• 사고대응 전담 태스크포스(TFT) 구성
• 추가 침해 여부 조사
• 정보가 유출된 주택대출 모집인에게 유출 사실 통보
• 금융감독원 및 한국인터넷진흥원(KISA) 신고

국회에 제출된 사고 보고서에 따르면 현대캐피탈은 10월 2일 오후 5시 40분 유출 페이지를 차단했고, 오후 8시 45분 조회 정보에서 주민등록번호를 제거했다.

현대캐피탈은 일반 고객의 개인정보 유출이나 내부 시스템에 대한 접근·공격은 확인되지 않았으며 사고 원인과 추가 피해 여부를 조사하고 있다고 밝혔다. 금융감독원에 보고한 고객정보 유출 가능성 조사에서도 고객 피해는 없는 것으로 파악됐다고 보고했다.

탐지 지연

현대캐피탈은 자체 보안 시스템으로 공격을 탐지하지 못했다. 사고를 처음 인지한 계기는 금융보안원이 공유한 공격자 IP의 접근 이력을 확인하는 과정이었다.

손명수 의원은 "24분간 이어진 해킹 공격을 인지하는 데 130시간 넘게 걸렸다"고 지적하고, 금융당국에 이상징후 탐지·대응 체계를 점검하고 개인정보 보호조치와 보안의무 위반 여부를 조사할 것을 요구했다. 한창민 의원도 웰컴저축은행과 현대캐피탈이 해킹 공격을 받고 사고를 파악하기까지 닷새 가까이 걸렸다고 지적했다.

현대캐피탈에 대한 공격은 신한은행보다 먼저 발생했기 때문에, 사고를 조기에 인지하고 신고했다면 공격 정보 공유와 차단 조치도 앞당겨질 수 있었다는 지적이 나왔다.

내부 시스템과의 관계

현대캐피탈에 따르면 이번 공격은 외부에서 이용할 수 있는 주택대출 모집인 조회페이지를 대상으로 이뤄졌다.

회사는 내부 시스템에 대한 접근이나 공격은 이뤄지지 않았다고 밝혔으며, 일반 고객의 개인정보 유출도 확인되지 않았다고 설명했다.

따라서 10월 22일까지 공개된 조사 결과에서는 현대캐피탈의 고객 금융거래 시스템이나 내부 핵심 시스템이 침해됐다는 사실은 확인되지 않았다.

다만 외부 공개용 조회페이지를 통한 공격으로 일반에 공개되지 않는 주민등록번호와 내부 모집인번호까지 유출됐다는 점에서 해당 정보가 외부 조회 기능을 통해 노출될 수 있었던 원인과 접근통제 구조에 대한 추가 조사가 필요한 상황이다.

금융권 연쇄 해킹 사건과의 관계

현대캐피탈 사고는 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 은행권을 넘어 제2금융권에서도 개인정보 유출이 확인된 사례 중 하나다. 공격 발생 시각 기준으로는 최초 신고사인 신한은행보다 35시간 27분 먼저 공격을 받았다.

10월 4일 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사의 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐다. 공격자는 IP를 변경하면서 공격을 지속했으며, 금융당국은 AI 도구를 이용해 다수 금융회사를 대상으로 대량·자동화된 공격을 수행한 정황이 있는 것으로 보고 있다.

다만 시중은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 달랐으며 공격 수법이 유사한 것으로 파악됐다. 따라서 현대캐피탈과 신한은행 등이 동일한 IP 주소로 직접 공격받았다고 볼 수는 없다.

현대캐피탈 역시 해외 IP를 통한 외부 노출 조회페이지 공격을 받았고, 회사가 이를 AI를 활용한 정보조회 공격으로 파악했다는 점에서 같은 시기 금융권을 대상으로 발생한 공격들과 공통적인 특징을 보인다.

10월 14일 금융위원회는 신한은행 사고 전후로 침해사고가 확인된 금융회사가 16곳이며 유출 개인정보는 약 10만 건이라고 밝혔다. 여신전문금융업권에서는 현대캐피탈과 산은캐피탈이 포함됐다. 금융위원회는 사고 사이의 연관성, 동일 공격자 여부, AI 활용 여부를 계속 조사하고 있다고 밝혔다. 공격자의 신원과 조직, 현대캐피탈 공격에 사용된 구체적인 AI 도구 등은 아직 조사 중이다.

금융당국 대응

신한은행을 시작으로 여러 은행에서 개인정보 유출 사고가 확인된 데 이어 현대캐피탈과 저축은행 등 제2금융권에서도 침해사고가 확인되면서 금융당국은 점검 범위를 전 금융업권으로 확대했다.

금융당국은 10월 4일 이억원 금융위원장 주재로 금융감독원과 전 금융업권 관계자 등이 참석한 전 금융권 긴급 점검회의를 개최했다.

금융당국은 현대캐피탈을 포함한 7개 금융회사에서 침해사고가 확인됐으며, 다른 금융회사에서도 추가적인 침해 시도가 있었던 것으로 파악했다. 이에 금융감독원은 전 금융권 약 500개 금융회사에 공격 IP와 보안 유의사항을 전파했다.

금융회사들은 공격 IP 차단 및 피해 여부 조사, 외부 노출 IT 자산·서비스 식별과 보안 강화 등 12개 항목으로 구성된 체크리스트에 따라 긴급 점검을 실시하도록 요구받았다. 은행·카드사는 10월 6일까지, 증권·보험·저축은행·전자금융업자 등은 10월 8일까지 점검을 마치도록 했다.

금융당국은 이번 침해사고를 분석해 ▲본인확인이 누락된 정보조회 서비스 ▲모바일 단말기 접근통제가 누락되거나 권한 없는 접근이 가능한 직원 업무지원 서비스 ▲알려진 취약점을 이용해 악성코드를 설치하고 고객정보가 포함된 로그파일을 탈취한 홈페이지 서비스 등 크게 세 가지 유형의 취약 사례를 파악하고 관련 보안조치를 금융권에 요구했다.

현대캐피탈은 10월 3일 오후 3시 30분경 금융감독원과 한국인터넷진흥원에 사고를 신고했다.

10월 14일 금융위원회는 제2차 긴급 상황대응 회의에서 금융회사 555곳의 자체 점검 결과 130곳이 일부 보안관리 미흡 사항을 보고했다고 밝히고, 외부 접점과 인증·접근통제 관리 강화, 대형 금융회사의 취약점 점검 주기 확대 등 금융보안 관리체계 개선을 추진하기로 했다.

10월 22일까지 현대캐피탈에 대한 금융감독원 검사나 개인정보보호위원회 조사 착수 여부는 공개적으로 확인되지 않았다.

확인되지 않은 사항

2026년 10월 22일 현재 다음 사항은 공개된 조사 결과만으로 확정할 수 없다.

• 공격에 이용된 구체적인 취약점
• 인증 또는 접근통제 우회 여부
• 주민등록번호와 내부 모집인번호가 외부 조회페이지를 통해 유출될 수 있었던 구체적인 원인
• 공격자가 개인정보를 조회·수집한 기술적 방식
• 공격 요청 횟수와 자동화 수준
• 사용된 AI 모델 또는 AI 에이전트의 종류
• ARTEX가 현대캐피탈 공격에 직접 사용됐는지 여부
• 현대캐피탈 공격에서 AI가 수행한 구체적인 단계와 자동화 수준
• 현대캐피탈 공격에 사용된 IP와 은행권 공격 IP 사이의 구체적인 인프라 연관성
• 다른 금융회사 공격과 동일한 공격자가 현대캐피탈 공격을 수행했는지에 대한 최종 수사 결과
• 공격자의 신원·국적·소속
• 추가 개인정보 유출 여부
• 관련 법령 위반 여부와 향후 금융당국의 제재 여부
• 경찰의 현대캐피탈 사건에 대한 구체적인 수사 진행 상황

특히 현대캐피탈이 AI 활용 공격이라고 밝혔고 금융당국이 여러 금융회사 공격 사이의 공통적인 공격 정황을 확인했다는 사실과, 현대캐피탈 공격에 ARTEX가 직접 사용됐다는 것은 별개의 문제다.

금융당국과 현대캐피탈의 후속 조사에 따라 침입 방식, 다른 금융회사 사고와의 연관성 및 유출 범위는 변경되거나 추가로 확인될 수 있다.

같이 보기

• 2026년 금융권 AI 해킹 및 정보유출 사태
• ARTEX
• 개인정보 유출
• 개인정보 보호법 제34조