2026년 금융권 AI 해킹 및 정보유출 사태/미래에셋증권
더 많은 작업
2026년 금융권 AI 해킹 및 정보유출 사태/미래에셋증권은 2026년 11월 4~5일 미래에셋증권의 모바일웹 휴대폰 인증 로그인 서비스와 사내 그룹웨어가 외부 사이버 공격을 받아 고객 약 3,800명의 계좌번호와 전·현직 임직원 및 외주직원 35,255명의 개인정보가 유출된 사건이다.[1]
2026년 11월 7일 미래에셋증권은 공식 홈페이지에 고객 개인신용정보와 임직원 개인정보 유출 사실을 공지했다. 회사에 따르면 11월 4일 모바일웹 휴대폰 인증 로그인 서비스에 대한 비정상적인 외부 접근으로 고객 약 3,800명의 계좌번호가 유출됐으며, 다음 날인 5일 사내 그룹웨어 'mi-global'에 대한 공격으로 퇴직자와 외주직원을 포함한 35,255명의 개인정보가 유출됐다.[2]
미래에셋증권은 외부 공격자가 정상적인 권한 없이 자료를 열람한 사고라고 설명했다. 사고 인지 후 관련 접근 경로를 차단하고 비상대응체계를 가동했으며, 금융위원회·금융감독원·개인정보보호위원회에 침해사고와 정보유출 사실을 보고했다고 밝혔다.[1]
이번 사건은 2026년 9월 말부터 금융권 전반에서 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 이후 확인된 증권업권의 추가 침해사고다. 특히 미래에셋생명과 미래에셋자산운용 등 미래에셋그룹 계열사에서도 앞서 외부 사이버 공격이 확인된 가운데 발생했다는 점에서 주목받았다.[3]
다만 미래에셋증권 공격에 ARTEX 등 특정 AI 공격 도구가 사용됐는지, 다른 금융회사 공격과 동일한 공격자가 관여했는지는 확인되지 않았다.
미래에셋증권은 11월 7일 고객 약 3,800명과 임직원 35,255명의 개인정보가 유출됐다고 밝혔다. 고객정보와 임직원정보는 서로 다른 업무시스템에서 유출됐으며, 임직원 피해자에는 퇴직자와 외주직원도 포함됐다.[2]
| 구분 | 확인된 피해 |
|---|---|
| 피해 금융회사 | 미래에셋증권 |
| 공격 발생일 | 2026년 11월 4~5일 |
| 고객정보 유출 | 약 3,800명 |
| 고객 유출 항목 | 미래에셋증권 개설 계좌번호 |
| 임직원 개인정보 유출 | 35,255명 |
| 임직원 피해 대상 | 현직 직원·퇴직자·외주직원 |
| 임직원 유출 항목 | 성명·사번·이메일주소·휴대전화번호·암호화된 비밀번호 등 |
| 주민등록번호 등 고유식별정보 | 회사 발표 기준 유출되지 않음 |
| 확인된 금전 피해 | 없음(11월 7일 발표 기준) |
| 주요 금융거래 서비스 | 정상 운영 |
| 구체적인 침입 취약점 | 미공개 |
| AI 에이전트 사용 여부 | 확인되지 않음 |
고객 약 3,800명과 임직원 35,255명은 각각의 시스템에서 확인된 유출 대상 규모다. 두 집단의 중복 여부가 별도로 공개되지 않았으므로, 이를 합산한 수치를 중복을 제거한 전체 피해 인원으로 단정해서는 안 된다.
11월 5일에는 사내 그룹웨어 'mi-global'에 대한 공격으로 퇴직자와 외주직원을 포함한 임직원 35,255명의 개인정보가 유출됐다. 유출 항목은 성명과 사번이 대부분이었으나, 일부 대상자에게서는 이메일주소·휴대전화번호·암호화된 비밀번호 등도 유출된 것으로 확인됐다.[1]
회사는 주민등록번호·여권번호·운전면허번호·외국인등록번호 등 고유식별정보와 민감정보는 유출되지 않았다고 설명했다. 다만 실제 유출된 항목은 대상자별로 차이가 있다.[2]
특히 암호화된 비밀번호가 포함됐다는 점은 별도의 보안상 검토가 필요한 부분이다. 그러나 비밀번호의 저장 방식과 암호화 알고리즘, 솔트 적용 여부 등이 공개되지 않았으므로 비밀번호가 실제로 복호화되거나 악용됐다고 단정할 수는 없다.
2026년 11월 4일 공격 대상은 모바일웹에서 제공하는 휴대폰 인증 로그인 서비스였다. 외부 IP에서 정상적인 접근 권한 없이 해당 서비스에 접근해 고객 계좌번호를 열람한 것으로 회사는 설명했다.[2]
회사는 비정상적인 접근을 확인한 직후 해당 서비스를 중단하고 추가 외부 접속을 차단했다.
다만 구체적인 침입 경로와 악용된 취약점은 공개되지 않았다. 휴대폰 본인인증 절차 자체가 우회됐는지, 로그인 이후의 인가 검증에 문제가 있었는지, 별도의 정보조회 기능을 악용했는지는 확인되지 않았다.
따라서 인증 우회, 객체 수준 인가 취약점(BOLA), SQL 인젝션 등 특정 취약점이 실제로 사용됐다고 기술할 근거는 없다.
11월 5일에는 사내 그룹웨어인 'mi-global'에 대한 외부 공격이 발생했다. 이 시스템을 통해 현직 직원뿐 아니라 퇴직자와 외주직원의 개인정보까지 노출된 것으로 확인됐다.[2]
공격자가 그룹웨어의 어떤 기능이나 서버에 접근했는지, 관리자 권한을 확보했는지, 외부에 노출된 정보조회 기능을 악용했는지는 공개되지 않았다.
또한 모바일웹 로그인 서비스와 그룹웨어 공격이 동일한 취약점을 이용했는지, 같은 공격자에 의해 수행됐는지도 확인되지 않았다.
미래에셋증권은 이번 사고가 외부에서 정상 권한 없이 자료를 열람한 형태라고 설명했다. 악성코드 감염이나 주요 서비스의 중단은 확인되지 않았으며, 회사 홈페이지를 비롯한 핵심 금융서비스는 정상 운영됐다고 밝혔다.[1]
이는 공개된 자료에서 악성코드 기반 시스템 장악보다 비인가 정보 접근이 확인된 사건이라는 의미다. 그러나 최초 접근 과정에서 어떤 인증·인가 취약점이나 공격 도구가 사용됐는지는 별도의 조사가 필요한 사항이다.
공격에 이용된 IP 주소의 구체적인 목록, 접속 국가, 최초 공격 시각 및 데이터 반출 방식도 공개되지 않았다.
| 일시 | 경과 |
|---|---|
| 2026년 11월 4일 | 모바일웹 휴대폰 인증 로그인 서비스에 대한 외부 비정상 접근이 발생하고 고객 약 3,800명의 계좌번호가 유출됨.[2] |
| 11월 5일 | 사내 그룹웨어 'mi-global'에 대한 외부 공격으로 전·현직 임직원 및 외주직원 35,255명의 개인정보가 유출됨.[2] |
| 11월 4~7일 | 회사가 비정상 접근을 확인한 뒤 관련 서비스의 외부 연결 차단, 비상대응체계 가동 및 관계기관 보고와 피해 대상자 통지를 진행함. 개별 조치의 정확한 시각은 공개되지 않음.[2] |
| 11월 7일 | 미래에셋증권이 공식 홈페이지에 고객 개인신용정보 및 임직원 개인정보 유출 사실을 공지하고 사과함.[2] |
| 11월 7일 | 피해 신고와 문의를 위한 임시 상담창구를 오전 10시부터 오후 5시까지 운영함.[5] |
11월 4일과 5일은 각 시스템에 대한 공격이 발생한 날짜다. 회사가 비정상적인 접근을 최초로 탐지한 정확한 시각이나 외부 공격자의 최초 접속 시각은 공개되지 않았다.
따라서 공격 시작부터 탐지와 차단까지 소요된 시간은 현재 자료만으로 계산할 수 없다.
미래에셋증권은 외부 IP의 비정상적인 접근을 확인한 뒤 관련 경로를 차단하고 비상대응체계를 가동했다. 모바일웹 휴대폰 인증 로그인 서비스를 긴급 중단했으며, 그룹웨어 서버의 네트워크 연결도 차단했다.[5]
회사는 관련 시스템의 외부 연결을 차단한 상태에서 사고 원인과 취약점을 조사하고, 점검 범위를 외부 접속이 가능한 사내 시스템 전반으로 확대했다고 설명했다.[4]
다만 개별 서비스에 대한 보안상 접속 차단 조치와 증권사의 전체 서비스 장애는 구분해야 한다. 회사는 공식 홈페이지 및 주요 금융거래 서비스는 정상 운영 중이라고 밝혔다.
미래에셋증권은 11월 7일 피해 신고와 문의를 위한 임시 상담창구를 운영했다. 아울러 개인정보 유출에 따른 피해를 입은 고객과 임직원이 손해배상 청구, 법정손해배상 청구 및 개인정보 분쟁조정위원회를 통한 분쟁조정 신청 등의 절차를 이용할 수 있다고 안내했다.[5]
다만 이는 피해구제 절차의 안내이며, 회사의 구체적인 배상액이나 배상책임이 확정됐다는 의미는 아니다.
김미섭·허선호 미래에셋증권 공동 대표이사는 공식 공지를 통해 개인정보 보호 책임을 다하지 못한 점을 사과하고 사고 원인과 유출 경위를 면밀히 조사해 재발방지 대책을 마련하겠다고 밝혔다.[1]
11월 7일 기준 외부 접속 가능 시스템에 대한 점검 확대가 진행 중이지만, 구체적인 취약점 보완 내역이나 점검 완료 시점은 공개되지 않았다.
2026년 10월 말부터 11월 초까지 미래에셋그룹 계열사에서 사이버 공격이 잇따라 확인됐다. 미래에셋생명과 미래에셋자산운용, 에너지인프라자산운용에 이어 미래에셋증권에서도 침해사고가 발생하면서 관련 공격이 확인된 계열사는 총 4곳으로 늘었다.[6]
| 금융회사 | 공격·인지 시기 | 공개된 결과 |
|---|---|---|
| 미래에셋생명 | 10월 25~26일 | 고객 청약시스템·홈페이지 일부 침해 및 개인신용정보 유출 확인 |
| 미래에셋자산운용 | 10월 28일 | 일부 업무용 웹시스템에 비정상 접근. 일부 정보가 유출됐으나 일반 투자자 개인정보 유출은 확인되지 않았다고 설명 |
| 에너지인프라자산운용 | 11월 2일 | 외부 침투 시도 확인. 고객정보 및 금융데이터 유출은 확인되지 않음 |
| 미래에셋증권 | 11월 4~5일 | 고객 약 3,800명의 계좌번호 및 임직원 등 35,255명의 개인정보 유출 |
계열사별 공격 대상 시스템과 피해 유형에는 차이가 있다. 특히 미래에셋생명에서는 청약시스템과 홈페이지 일부가, 미래에셋증권에서는 모바일웹 로그인 서비스와 사내 그룹웨어가 공격 대상이 됐다.[3]
짧은 기간에 같은 금융그룹 소속의 여러 회사가 공격받았지만, 이러한 사실만으로 공격자가 동일하거나 공통된 시스템 취약점이 존재했다고 단정할 수는 없다.
11월 7일 기준 이들 계열사의 공격 IP, 침입 경로 또는 공격 도구 사이에서 직접적인 연관성이 확인됐다는 공식 조사 결과는 공개되지 않았다.[7]
2026년 9월 말부터 발생한 금융권 연쇄 침해사고에서는 ARTEX와 Claude Code 등 AI 기반 도구의 활용 정황이 보안업체와 금융보안원 등의 분석을 통해 공개됐다.
그러나 미래에셋증권의 11월 4~5일 공격에서 ARTEX 또는 특정 생성형 AI 에이전트가 사용됐다는 증거는 공개되지 않았다.
외부 IP를 통한 비정상 접근과 권한 없는 자료 열람이라는 공격 양상만으로 AI 에이전트 사용 여부를 판단할 수는 없다.
미래에셋증권 사고는 신한은행·KB국민은행·하나은행·BNK부산은행 등 기존 금융권 침해사고 이후 발생한 사례다.
일부 공격에서 외부에 노출된 업무시스템을 통해 개인정보가 조회됐다는 공통점은 있으나, 실제 이용된 취약점과 공격 인프라가 동일한지는 확인되지 않았다.
따라서 이번 사건을 기존 은행권 공격과 동일한 공격 캠페인이나 ARTEX 악용 사건으로 확정해 분류할 근거는 없다.
이번 사고에서는 모바일웹 로그인 서비스와 사내 그룹웨어처럼 고객 금융거래의 핵심 기능과는 구분되는 시스템에서 정보유출이 발생했다.
이러한 시스템도 고객 계좌정보 또는 내부 인력의 개인정보를 처리할 수 있으므로, 외부 접속이 허용되는 기능에 대한 적절한 인증·인가와 비정상 정보조회 탐지가 중요하다.
다만 실제 취약점이 공개되지 않았으므로 인증 우회나 인가 검증 누락을 이번 사고의 확정 원인으로 해석해서는 안 된다.
이번 그룹웨어 침해에서는 현직 직원뿐 아니라 퇴직자와 외주직원의 개인정보까지 유출된 점이 확인됐다.
이로 인해 내부 업무시스템에 저장된 과거 인력 및 협력업체 인력의 개인정보 보존 기간, 접근권한과 관리 방식 등이 검토 대상이 될 수 있다. 다만 해당 정보의 보관이 법령이나 내부 정책을 위반했다는 조사 결과는 공개되지 않았다.
임직원 정보 중 일부 암호화된 비밀번호가 유출됐다는 사실은 계정 보안 측면에서 별도의 위험요소다.
암호화된 비밀번호가 바로 평문 비밀번호 노출을 의미하지는 않는다. 실제 위험 수준은 저장 방식과 암호화·해시 처리, 키 및 솔트 관리, 다른 서비스에서의 비밀번호 재사용 여부 등에 따라 달라질 수 있다.
미래에셋증권은 11월 7일 기준 금전적 피해가 확인되지 않았으며 주요 금융거래 서비스가 정상 운영 중이라고 밝혔다.
그러나 금전적 피해가 발생하지 않았다는 사실과 개인정보가 유출되지 않았다는 사실은 구분해야 한다. 특히 유출 정보가 후속 피싱·스미싱 등의 2차 피해에 이용될 가능성은 별도로 고려해야 한다.
2026년 11월 7일 기준 공개된 자료에서는 최초 침입 시각과 실제 정보 반출 시각, 구체적인 침입 취약점, 공격 IP 및 공격자의 신원이 확인되지 않았다.
또한 모바일웹과 그룹웨어 공격이 동일한 공격자에 의해 수행됐는지, 미래에셋그룹 다른 계열사의 침해사고와 직접 연결되는지, ARTEX 등 AI 도구가 사용됐는지에 대한 확정 결과도 공개되지 않았다.
금융당국의 최종 검사 결과와 제재 여부, 개인정보 유출을 통한 실제 2차 피해 발생 여부 및 보상금 지급 현황도 확인되지 않았다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 연합뉴스, 「미래에셋증권도 해킹…고객 3천800여명·임직원 3만5천여명 정보 유출」, 2026년 11월 7일, https://stock.mk.co.kr/news/view/1193064
- ↑ 2.00 2.01 2.02 2.03 2.04 2.05 2.06 2.07 2.08 2.09 2.10 연합인포맥스, 「미래에셋증권, 고객 3천800명 계좌번호·임직원 3만5천명 정보 유출(종합)」, 2026년 11월 7일, https://news.einfomax.co.kr/news/articleView.html?idxno=4443587
- ↑ 3.0 3.1 뉴시스, 「미래에셋證도 뚫려…계열사 4곳 해킹에 그룹 보안관리 도마(종합)」, 2026년 11월 7일, https://nwww.newsis.com/view/NISX20261107_0003858758
- ↑ 4.0 4.1 4.2 한국일보, 「미래에셋증권도 뚫렸다... 고객 3800명·임직원 3만5000명 개인정보 유출」, 2026년 11월 7일, https://www.hankookilbo.com/news/article/A2026110708460001744
- ↑ 5.0 5.1 5.2 이데일리, 「미래에셋증권도 해킹…고객 3800명·임직원 3만5000명 정보 유출」, 2026년 11월 7일, https://v2.www.edaily.co.kr/News/Read?mediaCodeNo=257&newsId=02148406645643424
- ↑ 뉴스핌, 「[종합] 미래에셋증권, 그룹 4번째 해킹…피해 확산 차단 등 후속조치 돌입」, 2026년 11월 7일, https://ir.newspim.com/news/view/20261107000031
- ↑ 뉴스웍스, 「미래에셋증권도 해킹…고객 3800명·임직원 등 3만5255명 정보 유출」, 2026년 11월 7일, https://www.newsworks.co.kr/news/articleView.html?idxno=902288