2026년 금융권 AI 해킹 및 정보유출 사태/미래에셋생명
더 많은 작업
2026년 금융권 AI 해킹 및 정보유출 사태/미래에셋생명은 2026년 10월 미래에셋생명의 고객 청약시스템과 홈페이지 일부가 외부 사이버 공격을 받아 고객의 개인·신용정보가 유출된 사건이다.
2026년 10월 26일 미래에셋생명은 공식 홈페이지에 「침해사고에 따른 개인(신용)정보 유출 안내 및 사과드립니다」라는 공지를 게시하고 고객정보 유출 사실을 발표했다. 회사는 전날인 10월 25일 일부 시스템에서 이상 증상을 확인해 사이버 침해사고를 인지했으며, 외부 전문기관과 조사한 결과 26일 새벽 실제 개인정보 유출을 확인했다고 설명했다.[1]
침해사고가 발생한 시스템은 고객 청약시스템과 홈페이지 일부로 파악됐다. 공격자는 해당 시스템을 통해 약 41개 파일을 조회한 것으로 전해졌다. 다만 조회된 파일 가운데 실제 고객정보가 포함된 파일의 수와 정보의 종류, 유출된 고객의 규모는 10월 28일 기준 조사 중이다.[2]
이번 사건은 2026년 9월 말부터 은행·저축은행·여신전문금융회사 등에서 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 이후 보험업권에서 해킹에 따른 고객정보 유출이 처음으로 확인돼 금융당국에 신고된 사례로 보도됐다.[1]
금융감독원은 10월 26일 미래에셋생명에 대한 긴급 현장점검에 착수했다. 회사는 사고 확산 방지를 위해 공격 IP 주소를 차단하고, 같은 날 오후 4시부터 홈페이지 접속을 제한했다.[2]
다만 미래에셋생명 공격에서 ARTEX 등 특정 AI 에이전트가 실제 사용됐는지, 기존 은행권 공격과 동일한 공격자가 관여했는지는 확인되지 않았다. 특히 이번 공격에 사용된 IP는 금융보안원이 기존에 공유한 700여 개의 의심 IP와도 일치하지 않는 새로운 주소로 알려졌다.[2]
미래에셋생명은 2026년 10월 26일 고객의 개인(신용)정보가 유출된 사실을 확인했다고 발표했다. 다만 최초 발표 당시 정확한 정보 유출 대상과 항목은 파악 중이라고 밝혔다.[3]
2026년 10월 28일까지 확인된 공개 자료를 기준으로 피해 현황은 다음과 같다.
| 구분 | 확인된 내용 |
|---|---|
| 피해 금융회사 | 미래에셋생명 |
| 침해 대상 | 고객 청약시스템 및 홈페이지 일부 |
| 개인정보 유출 | 확인 |
| 유출 인원 | 조사 중 |
| 유출 항목 | 조사 중 |
| 공격자가 조회한 파일 | 약 41개 |
| 41개 파일 중 개인정보 포함 파일 | 확인되지 않음 |
| 건강정보 유출 여부 | 확인되지 않음 |
| 실제 금전 피해 | 공개적으로 확인되지 않음 |
여기서 41개는 공격자가 조회한 파일의 수이며, 개인정보가 유출된 고객 41명이나 개인정보 41건을 의미하지 않는다.
또한 모든 파일이 실제로 외부로 다운로드됐는지, 각각 어떤 정보가 저장돼 있었는지, 실제 개인정보가 포함된 파일이 몇 개인지는 공개된 자료만으로 확정할 수 없다.[1]
이번 사고의 공격 대상에 고객 청약시스템이 포함됐다는 점에서 유출 정보의 민감성이 주요 쟁점으로 제기됐다.
생명보험 청약시스템은 보험 가입 신청과 심사를 처리하며, 상품 및 청약 유형에 따라 다음과 같은 정보를 취급할 수 있다.
- 계약자·피보험자 등 보험계약 관계자의 인적사항
- 보험 가입 신청 및 계약 관련 정보
- 직업과 소득 등 보험 인수심사 관련 정보
- 보험 가입 전 고지한 질병·수술·입원·투약 이력 등 건강정보
- 청약서 및 관련 증빙서류
2026년 10월 27일 뉴스핌은 이러한 시스템 특성 때문에 개인정보뿐 아니라 질병 이력 등 민감정보의 유출 여부가 중요하다고 보도했다.[4]
다만 보험사가 건강정보를 취급한다는 사실과 이번 공격에서 건강정보가 실제 유출됐다는 것은 구분해야 한다.
10월 28일 기준 청약서, 건강 관련 고지사항, 진단서, 보험금 청구서류 또는 구체적인 질병 정보가 유출됐다는 공식 확인은 없었다.
따라서 이번 사건을 이미 확인된 의료·건강정보 유출 사고로 분류할 수는 없다.
공격 대상 가운데 하나인 고객 청약시스템은 보험 가입 신청 및 계약 심사에 필요한 정보를 처리하는 시스템이다.
고객이나 보험설계사가 입력한 청약정보는 계약자·피보험자 확인과 보험 인수심사 등 후속 업무에 사용될 수 있다.
금융권 후속 보도에 따르면 공격자는 미래에셋생명의 고객 청약시스템과 홈페이지 일부에 접근해 파일 41개를 조회한 것으로 파악됐다.[2]
다만 청약시스템 내부의 어느 서버나 기능에 침입했는지, 인증된 계정을 이용했는지, 외부에 공개된 파일 경로를 악용했는지 등 구체적인 공격 방법은 공개되지 않았다.
특히 다음과 같은 취약점이 실제 이용됐다는 근거는 확인되지 않았다.
따라서 다른 금융회사 사고에서 발견된 인증·인가 미흡이나 정보조회 API 취약점을 이번 사건에도 동일하게 적용해서는 안 된다.
고객 청약시스템 외에도 미래에셋생명 공식 홈페이지의 일부 시스템에서 침해가 발생한 것으로 알려졌다.[1]
공개된 자료에서는 홈페이지를 경유한 접근이 청약시스템 침해로 이어졌는지, 두 시스템이 각각 독립적으로 공격받았는지, 특정 파일 저장소 또는 웹 애플리케이션이 공격 대상이 됐는지 확인되지 않았다.
또한 홈페이지 전체가 공격자에게 장악됐다는 기술적 증거나 핵심 보험계약 데이터베이스에 대한 직접 접근 여부도 공개되지 않았다.
따라서 홈페이지 접속 차단 조치와 홈페이지 전체 시스템의 침해를 동일한 의미로 해석할 수는 없다.
이번 사고에서 구체적으로 공개된 공격 행위는 약 41개 파일에 대한 조회다.
10월 26일 연합뉴스와 10월 28일 뉴스1 보도에 따르면 공격자가 고객 청약시스템과 홈페이지 일부 시스템을 통해 파일을 조회한 정황이 확인됐다.[1][2]
그러나 다음 사항은 확인되지 않았다.
| 분석 항목 | 공개 여부 |
|---|---|
| 조회 파일 수 | 41개로 보도 |
| 파일명과 저장 경로 | 미공개 |
| 파일 형식 및 크기 | 미공개 |
| 개인정보 포함 파일 수 | 조사 중 |
| 파일별 개인정보 항목 | 조사 중 |
| 조회와 외부 다운로드의 구분 | 미공개 |
| 실제 외부 반출 데이터 총량 | 미공개 |
| 공격자의 파일 접근 권한 확보 방법 | 미공개 |
파일 조회가 발생했다는 사실만으로 해당 파일 전부가 외부로 반출됐다고 확정할 수는 없다.
반대로 회사가 고객정보 유출 자체를 확인했다고 발표했으므로, 파일별 반출 여부가 확정되지 않았다는 이유로 개인정보 유출 사실 자체를 부정할 수도 없다.
| 일시 | 경과 |
|---|---|
| 2026년 10월 25일 오후 | 미래에셋생명이 홈페이지와 고객 청약시스템 등 일부 시스템에서 이상 징후를 발견하고 사이버 침해사고를 인지함.[2] |
| 10월 25~26일 | 외부 전문기관 및 금융보안원과 사고 분석 진행. 공격 IP 차단 및 긴급 보안조치 시행.[2] |
| 10월 26일 새벽 | 침해사고 조사 과정에서 고객 개인정보 유출 사실 확인.[1] |
| 10월 26일 | 공식 홈페이지에 개인(신용)정보 유출 안내 및 사과문 게시. 정확한 유출 대상·항목은 파악 중이라고 발표.[5] |
| 10월 26일 | 금융감독원이 미래에셋생명에 대한 긴급 현장점검에 착수.[1] |
| 10월 26일 16:00 | 추가 피해 방지를 위해 홈페이지 접속 차단 및 시스템 복구·보안점검 실시.[2] |
| 10월 27일 | 청약시스템에 저장된 건강정보 등의 유출 가능성이 보도됐으나 실제 유출 항목은 확인되지 않은 상태.[4] |
| 10월 28일 | 기존 금융권 공유 의심 IP 700여 개와 미래에셋생명 공격 IP가 일치하지 않는다는 후속 보도 공개. 금융감독원 현장점검 계속 진행.[2] |
미래에셋생명이 침해사고를 인지한 날짜는 10월 25일이지만, 실제 공격자의 최초 접근 시각이 이날이었다는 의미는 아니다.
또한 10월 26일 새벽은 개인정보 유출을 확인한 시점이며, 정보가 실제로 외부로 유출된 시각은 아니다.
10월 28일 기준 공격자의 최초 접근 시각, 개인정보 파일의 최초 조회 시각, 실제 반출 시각 및 마지막 공격 시각은 공개되지 않았다.
따라서 은행권의 일부 사고처럼 공격 개시부터 탐지·차단까지 소요된 시간을 정확하게 계산할 수는 없다.
2026년 9월 말부터 발생한 금융권 침해사고에서는 AI 기반 침투 테스트 프레임워크인 ARTEX와 Claude Code 등 여러 AI 도구의 활용 정황이 보안업체 분석을 통해 공개됐다.
미래에셋생명 사고도 금융권 연쇄 공격이 이어지는 시기에 발생했으며, 일부 언론은 AI 기반 해킹 위협의 확대라는 맥락에서 이번 사건을 보도했다.
그러나 미래에셋생명에 대한 공격에 ARTEX 또는 특정 AI 에이전트가 실제 사용됐다는 기술적 증거는 공개되지 않았다.
특히 파일 41개를 조회하는 행위는 AI 에이전트뿐 아니라 일반적인 자동화 스크립트 또는 사람이 직접 사용하는 보안·공격 도구로도 수행할 수 있다.
따라서 공격에 자동화가 개입했을 가능성과 실제 AI 에이전트의 사용 여부를 구분할 필요가 있다.
10월 28일 뉴스1은 금융보안원이 금융회사에 공유한 해킹 시도·의심 IP가 한 달 사이 700개 이상으로 증가했다고 보도했다.[2]
이는 처음 공유된 수십 개의 IP와 비교해 금융권 전체에서 수집·공유되는 의심 주소의 범위가 크게 확대됐음을 보여준다.
같은 보도에 따르면 미래에셋생명에 대한 공격에서는 초기 공유 IP 약 30개뿐 아니라 현재까지 공유된 700여 개 IP와도 일치하지 않는 새로운 IP가 사용된 것으로 알려졌다.
| 비교 항목 | 확인된 내용 |
|---|---|
| 기존 금융권 공유 의심 IP | 2026년 10월 28일 기준 700개 이상 |
| 미래에셋생명 공격 IP | 기존 공유 IP와 불일치 |
| 기존 은행권 공격과 직접 일치한 IP | 확인되지 않음 |
| 공격에 이용된 IP의 구체적인 주소 | 미공개 |
| 동일 공격자·공격 조직 여부 | 확인되지 않음 |
| ARTEX 사용 여부 | 확인되지 않음 |
다만 의심 IP 700여 개가 모두 하나의 공격 조직에 속하거나 실제 침해에 성공한 주소라는 의미는 아니다.
또한 IP가 서로 다르다고 해서 동일 공격자의 소행일 가능성이 완전히 배제되는 것도 아니다. 공격자는 프록시·클라우드 임대 서버·VPN 등을 사용해 출발지 IP를 바꿀 수 있기 때문이다.
따라서 공개된 IP 비교 결과는 기존에 알려진 공격 인프라와의 직접적인 중복이 확인되지 않았다는 의미로 해석해야 한다.
2026년 9월 말부터 은행·저축은행·캐피탈사 등을 대상으로 한 침해사고가 잇따랐으며, 미래에셋생명은 이후 보험업권에서 피해가 확인된 사례다.
그러나 비슷한 시기에 금융회사가 공격받았다는 사실만으로 모두 하나의 공격 캠페인에 속한다고 볼 수는 없다.
특히 이번 사고에서는 기존 금융권 공유 IP와의 직접적인 일치가 없었으므로, 동일 공격자 여부를 판단하려면 침입 방식, 공격 도구, 서버 로그, 파일 접근 패턴, 추가 운영 인프라 등의 비교 분석이 필요하다.
10월 28일 기준 이러한 비교 결과를 바탕으로 미래에셋생명 사건을 특정 공격 조직 또는 기존 은행권 공격 캠페인에 공식적으로 연결한 조사 결과는 발표되지 않았다.
미래에셋생명은 10월 25일 일부 시스템의 이상 징후를 발견하고 침해사고 대응을 시작했다.
이후 외부 전문기관 및 금융보안원과 함께 사고를 분석했으며, 개인정보 유출을 확인한 뒤 전사적 비상대응체계를 가동하고 공격 IP를 차단했다고 밝혔다.[2]
회사는 고객정보 보호를 위한 보안조치를 강화하고 추가 침해 여부와 개인정보 유출 범위를 조사하고 있다고 설명했다.
다만 적용된 보안장비의 탐지 규칙이나 공격에 사용된 취약점에 대한 구체적인 수정 내용은 공개되지 않았다.
미래에셋생명은 추가 피해를 막기 위해 2026년 10월 26일 오후 4시부터 홈페이지 접속을 제한하고 시스템 복구·점검에 착수했다.[4]
이에 따라 공식 홈페이지에서 제공하던 비대면 업무 일부가 중단됐다.
보도에 따르면 이용 제한 대상에는 다음 서비스가 포함됐다.
- M-LIFE의 PC·모바일 서비스
- 온라인보험 관련 서비스
- 디지털 ARS
회사는 홈페이지를 다시 개방할 경우 추가 정보 유출이나 고객 로그인 과정에서 2차 피해가 발생할 가능성이 없는지 확인한 후 서비스를 재개하겠다고 설명했다.
10월 27일 기준 홈페이지 재개 시점은 확정되지 않았으며, 보험계약대출 등 기존 비대면 업무 일부는 고객센터를 통해 처리하도록 안내했다.[4]
다만 서비스 중단 범위와 재개 여부는 이후 시스템 복구 상황에 따라 변경될 수 있다.
미래에셋생명은 10월 26일 홈페이지에 사과문을 게시하고 개인정보 유출에 따른 피해 예방 조치를 안내했다.
회사는 출처가 불분명한 문자메시지·전화·이메일과 미래에셋생명을 사칭한 연락에 주의하고, 개인정보나 금융정보 입력을 요구하는 외부 연락에 응하지 말 것을 당부했다.[5]
개인정보 유출로 피해가 발생한 고객은 미래에셋생명 고객센터를 통해 신고하고 피해구제 절차를 안내받을 수 있다고 밝혔다.
또한 개인정보 유출에 따른 손해가 발생한 경우 손해배상 또는 법정손해배상 청구, 개인정보 분쟁조정위원회를 통한 분쟁조정 등의 절차를 안내했다.[3]
다만 10월 28일 기준 다음 사항은 확인되지 않았다.
- 유출 고객별 개별 통지 완료 여부
- 개인정보 유출 자체에 대한 일괄 보상금
- 피해자별 손해배상 기준 및 지급 금액
- 명의도용 방지 서비스의 무상 제공 여부
- 실제 금융사기 피해에 따른 보상 사례
이는 회사가 피해구제 절차를 안내했다는 사실과 실제 손해배상금 지급이 완료됐다는 사실을 구분해야 한다는 의미다.
금융감독원은 2026년 10월 26일 미래에셋생명에 대한 긴급 현장점검에 착수했다.
점검 대상에는 개인정보 유출 규모와 사고 원인, 회사의 사고 인지 및 대응 과정, 고객 피해 발생 여부 등이 포함됐다.[1]
10월 28일 뉴스1 보도에서도 금융감독원은 현장점검을 진행 중이며 구체적인 유출 규모를 파악하고 있다고 설명했다.[2]
금융감독원은 점검 과정에서 개인신용정보 유출 등 위규 사항이 확인되면 정식 검사로 전환할 방침이라고 밝혔다.[6]
다만 10월 28일 기준 별도 정식 검사가 개시됐거나 검사 결과에 따른 제재·과징금·행정처분이 확정됐다는 발표는 확인되지 않았다.
금융위원회는 앞서 10월 14일 금융권 침해사고 재발방지 대책을 발표하면서 신한은행 사고 전후 금융회사 16곳에서 침해사고가 확인됐고, 약 10만 건의 개인정보 유출이 파악됐다고 밝혔다.[7]
미래에셋생명에 대한 침해사고는 이후인 10월 25일 인지됐으므로, 10월 14일 발표된 16개사·약 10만 건의 당시 집계에 포함된 사고가 아니다.
또한 10월 14일 금융당국은 여러 사고의 동일 공격자 여부와 AI 해킹 가능성을 조사하고 있다고 밝혔으나, 그 결과가 미래에셋생명 사고의 공격 주체를 확정하는 것은 아니다.
이번 사건은 생명보험사의 고객 청약시스템에서 개인정보 유출이 확인됐다는 점에서 의미가 있다.
보험 청약정보에는 일반적인 인적사항뿐 아니라 보험상품에 따라 건강상태, 병력 및 직업 등 인수심사에 필요한 정보가 포함될 수 있다.
이러한 정보가 노출되면 단순한 연락처 유출보다 광범위한 사생활 침해 위험이 발생할 수 있다.
그러나 이번 사건에서 건강정보가 실제 유출됐는지는 확인되지 않았으므로, 이러한 가능성은 사고의 최종 피해 현황과 구분해 기술해야 한다.
공격자가 41개 파일을 조회했다는 정황은 파일 단위 접근기록을 통해 침해 범위를 조사할 수 있는 단서를 제공한다.
실제 피해 범위를 확정하려면 파일별 저장 정보, 접근 시각, 조회 권한, 외부 전송 여부, 고객 식별정보의 포함 여부 등을 분석해야 한다.
이번 사건은 파일 접근 건수가 확인됐더라도 그 수치만으로 유출 인원이나 유출 정보의 범위를 산정할 수 없다는 점을 보여준다.
미래에셋생명 공격에 사용된 IP가 기존에 공유된 700여 개 의심 주소와 일치하지 않았다는 사실은 알려진 공격 IP를 활용한 차단 체계의 한계를 보여준다.
다만 위협정보 공유 자체가 무의미하다는 뜻은 아니다. 공유된 공격 IP는 이전 공격의 재발을 탐지하거나 여러 시스템의 접속기록을 비교하는 데 활용할 수 있다.
새로운 IP로 진행되는 공격까지 탐지하려면 IP 평판 정보 외에도 비정상적인 파일 접근, 인증·인가 위반, 비정상적인 정보조회 및 데이터 전송 등 행위 기반 분석이 필요하다.
미래에셋생명은 추가 피해를 막기 위해 공식 홈페이지와 일부 비대면 서비스를 일시 중단했다.
이는 침해사고 대응이 개인정보 유출 차단에 그치지 않고 고객의 보험계약 조회, 대출, 청약 및 기타 비대면 업무의 이용 가능성에도 영향을 줄 수 있음을 보여준다.
따라서 시스템 격리와 고객 서비스 유지, 대체 업무 채널 운영 및 복구 후 안전성 검증이 사고 대응 과정에서 함께 고려될 필요가 있다.
2026년 10월 28일 기준 공개된 자료만으로는 다음 사항을 확정할 수 없다.
- 최초 공격 발생 시각 및 실제 개인정보 유출 시각
- 실제 유출된 고객 수와 개인정보 항목
- 파일 41개 가운데 개인정보가 포함된 파일 수
- 공격자가 파일을 조회한 경로와 외부 반출 방식
- 주민등록번호·건강정보·보험계약정보 등 개별 정보의 유출 여부
- 구체적인 시스템 취약점 및 최초 침입 경로
- 공격 IP의 전체 목록과 실제 공격자 위치
- ARTEX 또는 특정 AI 에이전트의 사용 여부
- 다른 금융회사 공격과 동일한 공격자·조직·캠페인인지 여부
- 공격자 입건·검거 등 수사 결과
- 금융감독원의 최종 검사 결과 및 제재 여부
- 실제 2차 피해 및 손해배상 지급 현황
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 1.6 1.7 연합뉴스, 「미래에셋생명서 보험사 첫 해킹 유출…금감원, 긴급 현장점검(종합)」, 2026년 10월 26일, https://www.yna.co.kr/view/AKR20261026127651002
- ↑ 2.00 2.01 2.02 2.03 2.04 2.05 2.06 2.07 2.08 2.09 2.10 2.11 2.12 뉴스1, 「금융사 해킹 의심 IP 한 달 새 700개 넘어…미래에셋생명 공격 또 다르다」, 2026년 10월 28일, https://www.news1.kr/finance/insurance-card/6333692
- ↑ 3.0 3.1 뉴시스, 「미래에셋생명, 해킹으로 개인정보 유출…"규모 파악 중"」, 2026년 10월 26일, https://files.newsis.com/view/NISX20261026_0003841605
- ↑ 4.0 4.1 4.2 4.3 뉴스핌, 「보험사 첫 개인정보 유출…미래에셋생명, 보험계약 민감정보 포함됐나」, 2026년 10월 27일, https://m.newspim.com/news/view/20261027000744
- ↑ 5.0 5.1 5.2 뉴스핌, 「미래에셋생명, 해킹으로 고객정보 유출…보험업계 첫 피해 사례」, 2026년 10월 26일, https://ir.newspim.com/news/view/20261026001149
- ↑ 뉴시스, 「금감원, 미래에셋생명 해킹 사고 현장점검…유출 규모 확인 중」, 2026년 10월 27일, https://www.newsis.com/view/NISX20261027_0003842258
- ↑ 금융위원회, 「금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다」, 2026년 10월 14일, https://www.fsc.go.kr/no010101/87927