2026년 금융권 AI 해킹 및 정보유출 사태/모우다
더 많은 작업
2026년 금융권 AI 해킹 및 정보유출 사태/모우다 문서는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 온라인투자연계금융업체 모우다에서 발생한 사이버 침해 및 개인정보 유출 사고의 경과, 피해 범위, 공격 방식과 대응 등을 다룬다.
모우다는 2026년 9월 27일 정오경부터 9월 28일 오전 2시경까지 외부 제3자가 자사 웹사이트에 불법 접근한 사실을 확인했다. 이 가운데 9월 27일 오후 9시경부터 28일 오전 2시경 사이에 이용자의 개인정보가 유출됐을 가능성이 있는 것으로 파악됐다.[1] 모우다는 9월 29일 홈페이지 공지를 통해 이 사실을 알렸다.[2][3]
유출 가능성이 확인된 정보에는 성명, 이메일주소, 휴대전화번호가 포함됐으며, 간편대출서비스 신청자의 경우 대출 신청·실행 여부, KCB 신용점수, 연소득, 내부 가심사 신용등급 등이 추가로 포함됐다.[1]
모우다는 온라인투자연계금융업을 영위하는 금융회사로, 온라인 플랫폼을 통해 투자자와 차입자를 연계하는 서비스를 제공한다.
2026년 9월 27일 정오경 외부 제3자가 모우다 웹사이트에 불법 접근하기 시작했으며, 이러한 접근은 9월 28일 오전 2시경까지 이어진 것으로 파악됐다.[1] 모우다는 9월 27일 오후 1시 30분 이상 징후를 발견하고 IP와 우회로 차단 등의 조치를 진행했다.[1]
모우다는 조사 과정에서 9월 27일 오후 9시경부터 28일 오전 2시경 사이 개인정보가 유출됐을 가능성이 있다고 밝혔다.[1]
유출 가능성이 있는 기본 개인정보는 다음과 같다.
- 성명
- 이메일주소
- 휴대전화번호
- 회원번호(회원의 경우)[3]
간편대출서비스를 신청한 이용자의 경우 다음 정보도 유출됐을 가능성이 확인됐다. 간편대출서비스 신청자에는 비회원도 포함된다.[1][3]
- 대출 신청 여부
- 대출 실행 여부
- 조회된 KCB 신용점수
- 신청 시 기재한 연소득
- 모우다 내부 가심사 신용등급
따라서 이번 사고는 단순 연락처뿐 아니라 일부 이용자의 신용평가 및 대출 관련 정보까지 유출 가능성이 확인됐다는 특징이 있다.
10월 14일 금융위원회가 밝힌 침해사고 발생 금융회사 16곳에는 온라인투자연계금융업권에서 모우다와 PFCT가 포함됐다.[4]
2026년 10월 22일까지 공개된 자료에서는 유출 가능성이 있는 정보의 종류가 비교적 구체적으로 확인됐지만, 개인정보가 유출된 정확한 이용자 수는 공개적으로 확인되지 않았다.
| 구분 | 확인된 내용 |
|---|---|
| 성명 | 유출 가능성 확인[1] |
| 이메일주소 | 유출 가능성 확인[1] |
| 휴대전화번호 | 유출 가능성 확인[1] |
| 회원번호 | 회원의 경우 유출 가능성 확인[3] |
| 대출 신청 여부 | 간편대출서비스 신청자 일부에서 유출 가능성 확인[1] |
| 대출 실행 여부 | 간편대출서비스 신청자 일부에서 유출 가능성 확인[1] |
| KCB 신용점수 | 간편대출서비스 신청자 일부에서 유출 가능성 확인(조회된 점수)[1][3] |
| 연소득 | 간편대출서비스 신청자 일부에서 유출 가능성 확인(신청 시 기재한 금액)[1][3] |
| 내부 가심사 신용등급 | 간편대출서비스 신청자 일부에서 유출 가능성 확인[1] |
| 비밀번호 | 모우다는 유출 가능성이 매우 낮다고 밝혔다[1] |
| 주민등록번호 | 10월 22일까지 공개된 자료에서 유출 사실 확인되지 않음 |
| 계좌 비밀번호 | 10월 22일까지 공개된 자료에서 유출 사실 확인되지 않음 |
모든 이용자에게 위 정보 전체가 유출된 것은 아니다. 성명·이메일주소·휴대전화번호 등의 기본 개인정보와 간편대출서비스 신청 과정에서 생성·수집된 정보는 대상 이용자에 따라 유출 범위가 다를 수 있다.[1]
특히 KCB 신용점수·연소득·내부 가심사 신용등급 등은 개인의 신용상태와 관련된 정보라는 점에서 단순 연락처 유출보다 피해 위험이 크다.
모우다는 입출금·투자·상환 등 금융거래에 대한 영향은 발견되지 않았다고 밝혔다.[1]
| 일시 | 내용 |
|---|---|
| 2026년 9월 27일 12:00경 | 외부 제3자가 모우다 웹사이트에 불법 접근하기 시작한 것으로 파악됐다.[1] |
| 9월 27일 13:30 | 모우다가 이상 징후를 발견하고 IP와 우회로 차단 등의 조치를 진행했다.[1][3] |
| 9월 27일 21:00경 | 모우다가 개인정보 유출 가능성이 있다고 파악한 시간대가 시작됐다.[1] |
| 9월 28일 02:00경 | 외부 제3자의 불법 접근이 종료된 것으로 파악됐다. 개인정보 유출 가능 시간대도 이 시점까지로 파악됐다.[1] |
| 9월 28일 11:00경 | 모우다가 대출신청 관련 정보의 유출 가능성을 확인했다.[3] |
| 9월 28일 19:00경 | 모우다가 회원 정보의 유출 가능성을 확인했다. 모우다는 유출 가능성을 확인한 직후 서비스를 일시 중단하고 불법 접근 경로를 차단했다.[3] |
| 9월 29일 00:00경 | 차단 조치가 유효한지 외부에서 확인한 뒤 모우다가 서비스를 재개했다.[3] |
| 9월 29일 | 모우다가 홈페이지에 「[주요공지] 개인(신용)정보 유출 안내」를 게시하고 유출 가능 항목과 이용자 유의사항을 안내했다.[2][3] |
| 10월 4일 | 언론 보도를 통해 모우다의 침해사고와 유출 가능 개인정보의 구체적인 범위가 알려졌다.[1] |
| 10월 14일 | 금융위원회가 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사 16곳을 발표했다. 모우다도 여기에 포함됐다.[5][4] |
공개된 시간대를 기준으로 외부의 불법 접근은 약 14시간 동안 이어졌으며, 이 가운데 개인정보가 실제로 외부로 유출됐을 가능성이 있는 시간대는 약 5시간으로 파악된다.
다만 이는 모우다가 확인한 접속 기록과 유출 가능 시간대를 기준으로 계산한 것으로, 공격자가 해당 시간 내내 지속적으로 개인정보를 추출했다는 의미는 아니다.
현재 공개적으로 확인된 공격 방식은 외부 제3자의 웹사이트 불법 접근이다.[1]
모우다는 이상 징후를 발견한 뒤 IP를 차단했으나 우회로 차단도 함께 진행했다고 밝혔다.[1] 다만 구체적으로 다음과 같은 기술적 사항은 공개되지 않았다.
- 최초 공격 대상 페이지 또는 기능
- 공격에 이용된 취약점
- 인증 또는 접근통제 우회 여부
- 공격자가 서버 권한을 획득했는지 여부
- 악성코드 설치 여부
- 데이터베이스 직접 접근 여부
- 개인정보를 조회·추출한 방식
- 공격 요청 횟수와 속도
- 사용된 자동화 도구
- 사용된 AI 모델 또는 AI 에이전트
따라서 모우다 웹사이트에 대한 불법 접근과 개인정보 유출 가능성이 확인됐다는 사실과 구체적인 침투 기법은 구분할 필요가 있다.
모우다 사고는 신한은행·KB국민은행·하나은행·BNK부산은행 등 은행권과 예가람·웰컴저축은행, 현대캐피탈, PFCT 등 여러 금융회사를 대상으로 한 침해사고가 집중된 시기에 발생했다.
특히 PFCT와 모우다는 모두 9월 27일 외부 공격을 받은 것으로 확인됐다.[1]
이 때문에 당시 금융권을 대상으로 이뤄진 AI 기반 자동화 공격과의 연관성이 제기됐다.
그러나 2026년 10월 22일 현재 모우다 공격에서 AI가 실제 사용됐다는 구체적인 기술적 조사 결과는 공개적으로 확인되지 않았다.
따라서 같은 시기 금융회사들을 대상으로 한 대량·자동화 공격 정황과 발생 시기의 유사성만을 근거로 모우다 사고를 AI 공격으로 확정해서는 안 된다.
모우다가 공격받은 9월 27일 다른 온라인투자연계금융업체인 피에프씨테크놀로지스(PFCT)에서도 개인정보 유출 사고가 발생했다.
PFCT에서는 9월 27일 오전 3시 30분경 외부의 무단 접근이 발생해 고객 302명의 이름·주민등록번호·전화번호 등 개인정보가 유출됐다.[6]
모우다에서는 같은 날 정오경부터 외부 불법 접근이 시작된 것으로 파악됐다.[1]
두 업체가 모두 온라인투자연계금융업체이고 같은 날 공격을 받았다는 점에서 온투업권을 대상으로 한 연속적인 공격 가능성을 의심할 수 있다.
그러나 PFCT와 모우다를 동일한 공격자가 공격했다는 사실은 공개적으로 확인되지 않았다.[2]
공격 시점과 업권이 유사하다는 사실과 공격 주체가 동일하다는 것은 구분할 필요가 있다.
모우다 사고는 2026년 금융권 AI 해킹 및 정보유출 사태가 은행·저축은행·캐피탈뿐 아니라 온라인투자연계금융업권에서도 발생한 사례다.
모우다에 대한 외부 불법 접근은 9월 27일부터 28일까지 발생했으며, 같은 9월 27일 PFCT에서도 개인정보 유출 사고가 발생했다.[1][6]
금융당국이 10월 4일 침해사고 발생 금융회사로 밝힌 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에는 모우다가 포함되지 않았다. 그러나 10월 14일 금융위원회가 발표한 침해사고 발생 금융회사 16곳에는 모우다가 포함됐다.[4]
금융위원회는 16개사 사고 사이의 연관성, 동일 공격자 여부, AI 활용 여부를 계속 조사하고 있다고 밝혔다.[5] 현재까지는 같은 시기에 금융업권을 대상으로 발생한 침해사고라는 시간적·산업적 연관성이 확인될 뿐, 모우다 사고와 은행권 연쇄 공격 사이의 직접적인 기술적 연관성은 확인되지 않았다.
모우다는 9월 27일 오후 1시 30분 이상 징후를 발견하고 IP와 우회로 차단 등의 조치를 진행했다.[1]
9월 29일 공지에 따르면 모우다는 9월 28일 개인정보 유출 가능성을 확인한 직후 서비스를 일시 중단하고 불법 접근 경로를 차단했으며, 차단이 유효한지 외부에서 확인한 뒤 9월 29일 0시경 서비스를 재개했다. 기존 침입탐지시스템과 방화벽에 더해 실시간 비정상 접근 감시 체계를 추가했으며, 이후 추가 불법 접근은 확인되지 않았다고 밝혔다. 또한 개인정보보호위원회와 한국인터넷진흥원(KISA)에 사고를 신고하고 접속 기록을 보존했다.[3]
모우다는 개인정보 유출 가능성이 있는 이용자를 대상으로 유출 가능 항목 등을 안내했다.[1] 비밀번호 유출 가능성은 매우 낮다고 밝히면서도 예방 차원에서 비밀번호 변경을 권장했다.[1]
모우다와 PFCT에서도 개인정보 유출 사고가 확인되면서 금융권 침해사고가 온라인투자연계금융업권까지 확대된 사실이 확인됐다.
금융당국은 10월 4일 전 금융권 긴급 점검회의를 개최하고 금융회사들에 외부 노출 IT 자산과 서비스, 인증·접근통제, 취약점 관리 등에 대한 긴급 점검을 요구했다.
10월 14일 금융위원회는 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사가 모우다를 포함해 16곳이며 유출 개인정보는 약 10만 건이라고 밝혔다. 금융회사 555곳의 자체 점검에서는 130곳이 일부 보안관리 미흡 사항을 보고했으며, 미흡 사항은 전자금융업과 온라인투자연계금융업에서 상대적으로 많았다.[5][4]
다만 16개사에 포함됐다는 사실만으로 모우다 사고와 다른 금융회사 사고 사이의 공격 IP 또는 공격자 연관성이 확인됐다고 볼 수는 없다.
모우다 사고에서는 성명·이메일주소·휴대전화번호뿐 아니라 일부 간편대출서비스 신청자의 대출 신청·실행 여부, KCB 신용점수, 연소득 및 내부 가심사 신용등급 등의 유출 가능성이 확인됐다.[1]
이러한 정보가 결합될 경우 공격자가 피해자의 금융상황이나 대출 이용 여부를 알고 있는 것처럼 가장할 수 있어 금융회사·대출상담사 등을 사칭하는 피싱이나 스미싱에 악용될 가능성이 있다.
모우다는 공지에서 사칭 연락에 주의하고 명의도용방지서비스를 이용하도록 안내했으며, 손해배상 청구권과 개인정보 분쟁조정 신청 방법을 알렸다.[3]
다만 2026년 10월 22일까지 유출 정보를 이용한 실제 금융피해가 발생했다는 사실은 공개적으로 확인되지 않았다.
2026년 10월 22일 기준 다음 사항은 공개된 자료만으로 확정할 수 없다.
- 개인정보가 유출됐거나 유출됐을 가능성이 있는 정확한 이용자 수
- 최초 공격 대상 웹페이지 또는 기능
- 최초 침입 경로
- 공격에 이용된 구체적인 취약점
- 인증 또는 접근통제 우회 여부
- 서버 또는 내부 시스템에 대한 직접 침입 여부
- 악성코드 설치 여부
- 데이터베이스 직접 접근 여부
- 개인정보를 추출한 구체적인 방식
- 실제 외부로 전송된 개인정보의 전체 규모
- 주민등록번호·계좌정보 등의 추가 유출 여부
- 사용된 자동화 도구
- 사용된 AI 모델 또는 AI 에이전트
- AI가 공격 과정에서 수행한 구체적인 역할
- ARTEX 사용 여부
- PFCT 공격과 동일한 공격자에 의해 수행됐는지 여부
- 은행·저축은행·캐피탈 연쇄 공격과 동일한 공격자 또는 공격 캠페인인지 여부
- 공격자의 신원·국적·소속
- 유출 정보를 이용한 2차 피해 여부
- 금융당국과 개인정보보호위원회의 최종 조사 결과와 제재 여부
특히 모우다 사고가 같은 시기 금융권에서 발생한 AI 기반 자동화 공격과 관련됐을 가능성과 모우다 공격에서 AI 또는 ARTEX 사용이 실제 확인됐다는 것은 별개의 문제다.
또한 9월 27일 정오부터 28일 오전 2시까지의 약 14시간은 확인된 외부 불법 접근 시간대이고, 오후 9시부터 오전 2시까지의 약 5시간은 개인정보 유출 가능성이 확인된 시간대다. 이를 개인정보가 14시간 또는 5시간 동안 계속 유출됐다는 의미로 해석해서는 안 된다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 1.11 1.12 1.13 1.14 1.15 1.16 1.17 1.18 1.19 1.20 1.21 1.22 1.23 1.24 1.25 1.26 1.27 1.28 1.29 1.30 1.31 머니투데이, 「추석 연휴에 털린 모우다·PFCT… 온투업권까지 퍼진 AI 공격」, 2026년 10월 4일, https://www.mt.co.kr/finance/2026/10/04/2026100418091246059.
- ↑ 2.0 2.1 2.2 2.3 파이낸셜뉴스, 「온투업도 뚫렸다...PFCT·모우다 정보 유출」, 2026년 10월 4일, https://www.fnnews.com/news/202610041813000672.
- ↑ 3.00 3.01 3.02 3.03 3.04 3.05 3.06 3.07 3.08 3.09 3.10 3.11 3.12 모우다, 「[주요공지] 개인(신용)정보 유출 안내」, 2026년 9월 29일 게시, https://mouda.kr/notice/768, 확인일: 2026-10-22.
- ↑ 4.0 4.1 4.2 4.3 데일리안, 「금융권 해킹 피해 16개사로 확대…개인정보 10만건 유출」, 2026년 10월 14일, https://www.dailian.co.kr/news/view/1701491/.
- ↑ 5.0 5.1 5.2 금융위원회, 「금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다」, 2026년 10월 14일, https://www.fsc.go.kr/no010101/87927.
- ↑ 6.0 6.1 서울신문, 「[단독] 온투업도 털렸다…PFCT 302명 개인정보 유출」, 2026년 10월 4일, https://www.seoul.co.kr/news/economy/finance/2026/10/04/20261004500051.