2026년 금융권 AI 해킹 및 정보유출 사태/산은캐피탈
더 많은 작업
2026년 금융권 AI 해킹 및 정보유출 사태/산은캐피탈은 2026년 10월 산은캐피탈의 차세대 전산시스템에 남아 있던 인증 절차 없는 개발용 테스트 페이지가 외부 공격에 악용돼 고객 848명의 개인정보가 유출된 사건이다.
2026년 10월 12일 산은캐피탈은 외부의 비정상적인 접근으로 고객 개인정보가 유출된 사실을 확인했다. 유출된 정보는 고객 848명의 성명·주민등록번호·생년월일 등 3개 항목이었다. 산은캐피탈은 10월 14일 대표이사 명의로 공식 사과문을 발표하고 피해 고객에 대한 통지와 재발방지 조치를 진행했다고 밝혔다.[1]
10월 15일 국회 정무위원회 소속 박민규 의원이 금융감독원으로부터 제출받은 산은캐피탈의 「정보기술 부문 및 전자금융 사고보고서」를 인용한 보도에서 구체적인 침입 경로와 사건 경과가 공개됐다. 보고서에 따르면 공격은 10월 8일 오후 1시 10분부터 시작됐지만 회사가 실제 침해사고를 인지한 시점은 10월 12일 오후 6시 30분이었다. 최초 공격 이후 약 101시간 20분이 지난 시점이었다.[2]
사고 원인은 차세대 전산시스템 개발 과정에서 내부 테스트 목적으로 만든 별도의 인증 절차 없이 정보를 조회할 수 있는 페이지가 정식 시스템 개통 이후에도 제거되지 않은 채 운영 환경에 남아 있었기 때문이다. 공격자는 해당 페이지를 통해 고객정보에 접근한 것으로 파악됐다.[3]
이번 사건은 2026년 9월 말부터 은행권을 중심으로 발생한 2026년 금융권 AI 해킹 및 정보유출 사태와 함께 조사된 금융권 침해사고 중 하나다. 10월 14일 금융위원회는 신한은행 사고 전후로 침해사고가 발생한 금융회사 16곳에 산은캐피탈을 포함했다. 다만 전체 사건의 동일 공격자 여부와 AI 도구 사용 여부는 조사 중이라고 밝혔다.[4]
산은캐피탈이 확인한 개인정보 유출 규모는 고객 848명이다. 유출 항목은 성명, 주민등록번호, 생년월일 3가지로 파악됐다.[1]
국회에 제출된 사고보고서에서는 피해 고객을 개인·개인사업자·법인대표로 구분했다.[2]
| 구분 | 피해 인원 | 비율 |
|---|---|---|
| 개인 | 221명 | 26.1% |
| 개인사업자 | 343명 | 40.4% |
| 법인대표 | 284명 | 33.5% |
| 합계 | 848명 | 100% |
전체 피해 고객 가운데 개인사업자와 법인대표가 627명으로 약 73.9%를 차지한다. 이는 산은캐피탈의 개인·기업금융 관련 고객정보가 함께 노출됐음을 보여준다.
위 인원은 사고보고서에서 제시한 피해 대상의 구분이며, 법인대표 284명은 법인 자체의 정보 284건이 아니라 법인대표자의 개인정보에 관한 집계다.
| 항목 | 유출 여부 | 비고 |
|---|---|---|
| 성명 | 확인 | 고객 식별정보 |
| 주민등록번호 | 확인 | 개인 고유식별정보 |
| 생년월일 | 확인 | 고객의 생년월일 |
| 계좌 비밀번호 | 공개된 유출 항목에 없음 | 유출 여부를 별도로 확정한 자료는 없음 |
| 카드번호 및 인증정보 | 공개된 유출 항목에 없음 | 해당 정보의 유출이 확인됐다는 발표 없음 |
공개된 유출 항목에는 주민등록번호가 포함돼 있다. 주민등록번호는 이름이나 생년월일보다 변경이 어렵고, 다른 개인정보와 결합될 경우 명의도용 등 2차 피해에 악용될 우려가 있다.
다만 산은캐피탈의 사고보고서를 인용한 보도에 따르면 사고로 인한 직접적인 금전 피해는 확인되지 않았다. 또한 이번 사고로 영향을 받은 다른 금융회사는 없다고 산은캐피탈은 설명했다.[2]
이는 10월 15일 보도 당시의 확인 결과이며, 개인정보 유출 자체가 없었다거나 모든 잠재적 피해 가능성이 해소됐다는 의미는 아니다.
이번 사고의 침입 경로는 산은캐피탈의 리테일 테스트 페이지로 파악됐다.
이 페이지는 차세대 전산시스템을 개발하는 과정에서 내부 기능을 시험하기 위해 만든 화면이었다. 개발 과정에서는 별도의 인증 절차 없이 내부 시스템의 정보를 조회할 수 있도록 구현됐으나, 정식 시스템이 개통된 뒤에도 삭제되지 않은 채 남아 있었다.[3]
산은캐피탈의 사고보고서는 시스템 개통 후에도 남아 있던 이 테스트 화면이 해킹에 악용됐다고 사고 원인을 설명했다.[2]
정상적인 고객·직원 서비스에서 요구되는 인증 절차를 거치지 않고 정보를 조회할 수 있었다는 점에서, 이번 사고는 인증 및 접근통제 미흡이 직접적인 침해 원인으로 확인된 사례다.
다만 공개 자료에는 해당 테스트 페이지의 실제 URL, 네트워크 구성, 접근 가능한 API 주소, 서버 및 데이터베이스의 제품명과 버전은 제시되지 않았다.
사고의 특징은 새로운 제로 데이 취약점이나 복잡한 서버 침입 기법이 아니라, 개발 과정에서 임시로 허용한 정보조회 기능이 운영 환경에 남아 있었다는 점이다.
개발용 테스트 페이지는 운영 서비스에 비해 인증·인가 검증, IP 접근제한 및 접근기록 관리가 충분히 적용되지 않을 수 있다. 이러한 페이지가 실제 운영 환경에서 접근 가능한 상태로 유지되면 정상 서비스의 보안통제를 거치지 않고 내부 정보를 조회하는 우회 경로가 될 수 있다.
이번 사건에서는 실제로 테스트 페이지가 별도 인증 없이 정보를 조회할 수 있도록 구성돼 있었고, 이를 통해 개인정보가 유출된 것으로 보고됐다.[2]
다만 공개된 사고보고서 요약만으로는 다음 사항을 확정할 수 없다.
- 테스트 페이지가 인터넷에 직접 공개돼 있었는지 또는 다른 외부 연결 경로를 통해 접근했는지에 관한 상세 네트워크 구성
- 공격자가 별도의 인증 우회 기법을 사용했는지 여부
- 고객 식별값을 변경하는 방식으로 정보를 반복 조회했는지 여부
- 데이터베이스에 직접 접속하거나 SQL 인젝션 등의 취약점을 이용했는지 여부
- 공격에 사용된 구체적인 스크립트 또는 자동화 프로그램
따라서 다른 금융회사 사건에서 발견된 공격 수법을 산은캐피탈 사건에도 그대로 적용해 서술해서는 안 된다.
공개된 원인을 기준으로 보면 사고에는 다음과 같은 보안관리 문제가 관련돼 있다.
| 보안관리 항목 | 사고에서 확인된 사실 | 보안상 의미 |
|---|---|---|
| 개발용 기능의 운영환경 잔존 | 차세대 시스템 개통 후에도 테스트 페이지가 제거되지 않음 | 운영에 필요하지 않은 기능이 공격 표면으로 남음 |
| 인증통제 | 해당 페이지에서 별도 인증 없이 정보 조회 가능 | 비인가자의 정보 접근을 제한하지 못함 |
| 접근통제 | 개발용 정보조회 화면이 공격에 악용됨 | 페이지별 접근 허용 범위와 권한 관리 필요 |
| 운영자산 점검 | 문제 페이지가 실제 침해 발생 전까지 운영 환경에 남아 있었음 | 개발·시험용 자산의 식별과 제거 여부 검증 필요 |
| 이상징후 탐지 | 최초 공격 후 약 101시간이 지나서야 침해 사실 확인 | 정보조회 행위에 대한 탐지·분석 체계 점검 필요 |
이는 사고보고서와 공개된 대응조치를 토대로 정리한 관리상 쟁점이다. 구체적인 보안 규정 위반 여부나 담당자의 책임은 감독당국의 검사 결과에 따라 별도로 판단해야 한다.
2026년 10월 15일 공개된 국회 제출 사고보고서의 내용에 따르면 사건 경과는 다음과 같다.[2][3]
| 일시 | 경과 |
|---|---|
| 2026년 10월 8일 13:10 | 산은캐피탈 시스템에 대한 최초 비정상 접근 발생. 이후 조사에서 리테일 테스트 페이지를 통한 침해로 파악됨. |
| 10월 12일 12:10 | 산은캐피탈이 비대면 접속 오류를 점검하는 과정에서 개발용 테스트 페이지를 발견하고 차단함. 이 시점에는 개인정보 유출 여부를 확정하지 못한 상태였음. |
| 10월 12일 15:14 | 금융보안원이 통보한 금융권 2차 공격 관련 IP를 차단함. |
| 10월 12일 17:13 | 사고보고서에 기록된 공격 종료 시각. |
| 10월 12일 18:30 | 금융권 공격 관련 IP 26개를 분석하는 과정에서 국내 IP 5개를 통한 침해사고를 확인하고 개인정보 유출 사실을 인지함. |
| 10월 12일 23:50 | 침해 기록을 분석해 피해 고객 식별 완료. |
| 10월 13일 | 사고보고서 제출 후속 절차 진행. 10월 15일 뉴스1 보도에서는 사고보고서 제출일을 13일로 설명함. |
| 10월 14일 | 양승원 산은캐피탈 대표이사 명의의 개인정보 유출 안내 및 사과문 게시. 고객 848명 정보 유출 사실 공표. |
| 10월 14일 | 금융위원회가 제2차 긴급 상황대응 회의에서 산은캐피탈을 포함한 총 16개 금융회사 침해사고 확인 사실을 발표함. |
| 10월 15일 | 국회 제출 사고보고서를 인용한 언론 보도를 통해 침입 경로와 정확한 공격·인지 시각이 공개됨. |
최초 공격 시각인 10월 8일 오후 1시 10분부터 침해사고를 확인한 10월 12일 오후 6시 30분까지는 약 101시간 20분이 소요됐다.
또한 사고보고서에 기재된 공격 종료 시각인 10월 12일 오후 5시 13분은 침해사고를 인지한 시각보다 1시간 17분 앞선다.
이 기간 동안 회사가 공격을 실시간으로 탐지해 침해사고로 인식한 것은 아니었다. 회사는 10월 12일 낮에 접속 오류를 점검하다 테스트 페이지를 발견했으며, 이후 금융보안원이 공유한 공격 IP를 분석하는 과정에서 유출 사실을 확인했다.[3]
따라서 10월 12일 12시 10분의 테스트 페이지 차단과 같은 날 18시 30분의 침해사고 인지는 서로 다른 대응 단계로 구분해야 한다.
또한 보고서상 공격 종료 시각이 테스트 페이지 차단 이후로 기록돼 있으나, 공개된 자료에는 차단 이후에도 공격 요청이 계속 발생했는지, 다른 접속 경로가 존재했는지 등 정확한 이유는 설명되지 않았다.
산은캐피탈은 금융보안원이 금융회사에 공유한 공격 관련 IP를 자체 접속기록과 대조하면서 침해 사실을 확인했다.
10월 12일 오후 3시 14분 금융보안원으로부터 전달받은 공격 관련 IP를 차단했으며, 이후 공유된 공격 IP 26개를 분석하는 과정에서 국내 IP 5개를 통한 침해 기록을 확인했다.[2]
이는 자체적으로 운영 중인 서비스의 취약한 테스트 페이지를 발견한 것과 실제 개인정보 유출 여부를 확인한 과정이 분리돼 있었음을 보여준다.
다만 공개된 자료에서 국내 IP 5개의 구체적인 주소, 전체 공격 IP 수, 각 IP별 최초 접속 시각과 유출량은 확인되지 않았다.
또한 IP가 대한민국에 할당돼 있다는 사실은 공격자가 한국인이라는 의미가 아니다. 해당 주소가 공격자의 직접 접속지인지, 프록시 또는 임대 서버인지도 별도 분석이 필요하다.
이번 사건은 신한은행·KB국민은행·하나은행·BNK부산은행 등의 정보유출 사고 이후 금융보안원이 공유한 공격 IP를 이용해 추가 침해를 확인한 사례다.
기존 은행권 공격에서는 자율형 AI 침투 테스트 프레임워크인 ARTEX 관련 실행 환경과 공격 인프라가 확인됐으며, 일부 공격자 서버에서 Claude Code 세션 기록 등 AI 활용 정황이 발견됐다.
산은캐피탈의 경우에도 공유된 금융권 공격 관련 IP를 조사하는 과정에서 침해사고가 확인됐으나, 산은캐피탈의 실제 침입 과정에서 ARTEX가 사용됐다는 사실은 공개적으로 확정되지 않았다.
10월 14일 금융위원회는 16개 금융회사의 침해사고를 확인하면서 각 사건의 공격 경로, 동일 공격자 여부 및 AI 해킹 가능성을 조사하고 있다고 밝혔다.[4]
따라서 다음 사실은 구분해야 한다.
- 산은캐피탈의 테스트 페이지를 통한 개인정보 유출은 사고보고서를 통해 확인됐다.
- 금융보안원이 공유한 공격 IP를 이용해 산은캐피탈 침해사고를 발견한 것도 확인됐다.
- 여러 금융회사 공격에서 공격 인프라와 수법의 유사성이 존재한다는 정황은 있다.
- 그러나 산은캐피탈 공격에서 ARTEX의 특정 에이전트가 어떤 작업을 수행했는지는 확인되지 않았다.
- 모든 금융회사 공격이 동일 조직에 의해 수행됐다는 공식 결론도 발표되지 않았다.
특히 이번 사건은 공격자가 복잡한 AI 자동화를 사용하지 않았더라도 인증 절차가 없는 테스트 페이지에 접근할 수 있었다면 개인정보가 유출될 수 있는 구조였다는 점에서, AI 활용 여부와 별도로 서버 측의 기본적인 인증·접근통제가 중요하다는 사례다.
산은캐피탈은 사고 확인 이후 비정상 접속 경로와 관련 IP를 차단하고 전사적인 비상대응 체계를 가동했다고 밝혔다. 회사는 비정상 접근에 대한 모니터링도 강화했다.[1]
국회 제출 사고보고서에 따르면 회사가 수행한 보안조치에는 다음과 같은 내용이 포함됐다.[2]
- 관리자·테스트 페이지 등 정상 서비스와 직접 관련되지 않은 화면에도 인증 절차 적용
- 해당 페이지에 대한 IP 기반 접근통제 강화
- 운영 중인 서비스 전체에서 임의로 남아 있는 테스트 페이지를 점검
- 불필요한 개발·시험용 페이지 폐기
- 비정상 접근에 대한 모니터링 강화
이러한 조치는 사고를 일으킨 특정 페이지의 차단에 그치지 않고 운영 환경에 남아 있는 다른 테스트 페이지까지 점검하는 방식으로 진행됐다.
다만 전체 운영 시스템을 대상으로 한 점검의 완료 범위, 외부 전문기관의 검증 결과, 추가 취약점 발견 여부는 공개된 보도만으로 확인되지 않았다.
산은캐피탈은 공개 안내에서 개인정보 유출로 손해가 발생한 경우 관련 법령에 따른 구제절차를 이용할 수 있다고 설명했다.
고객은 개인정보 유출로 인한 손해배상 청구 또는 개인정보 분쟁조정위원회를 통한 분쟁조정 절차를 이용할 수 있다.[2]
산은캐피탈의 일반 고객권리 안내문에서도 회사의 귀책사유로 개인정보 유출이 발생해 고객에게 손해가 발생한 경우 관계 법령 등에 따라 보상받을 수 있다고 안내하고 있다.[5]
다만 2026년 10월 28일 기준 이번 사고에 대한 별도의 일괄 보상금, 위자료 지급 기준, 확정된 총배상액 또는 실제 보상 완료 규모는 공개적으로 확인되지 않았다.
산은캐피탈의 구체적인 침입 경위와 대응 시각은 회사가 금융감독원에 제출한 「정보기술 부문 및 전자금융 사고보고서」를 통해 알려졌다.
2026년 10월 15일 언론 보도에서는 해당 보고서가 국회 정무위원회 박민규 의원실에 제출되면서 최초 공격 시각, 테스트 페이지 차단 경과, 위협 IP 분석 및 피해 고객 식별 시각 등이 공개됐다.[2]
금융감독원이 산은캐피탈에 대해 별도의 현장검사에 착수했는지, 최종적인 내부통제 위반 여부를 판단했는지, 금융회사나 임직원에게 제재를 부과했는지는 10월 28일 기준 공개된 자료에서 확인되지 않았다.
2026년 10월 14일 금융위원회는 제2차 긴급 상황대응 회의에서 산은캐피탈을 포함해 금융회사 16곳에서 침해사고가 확인됐다고 발표했다.
당시 금융위원회가 파악한 전체 유출 규모는 약 10만 건이었으며, 서로 다른 사고가 동일한 공격자에 의해 수행됐는지는 정밀조사 중이었다.[4]
금융위원회는 전체 금융회사 555곳에 대한 긴급 자체점검 결과 130곳에서 일부 보안관리 미흡 사항이 보고됐다고 밝혔다.
이에 따라 외부에 노출된 IT 자산과 서비스에 대한 관리 강화, 접근권한 및 인증통제 점검, 보안 취약점 점검체계 개선, 해킹 위협정보 공유 및 관제 강화 등의 대책을 추진하기로 했다.
다만 금융위원회가 발표한 130개사의 보안관리 미흡 사항이 모두 산은캐피탈 사건과 동일한 원인으로 발생했다는 의미는 아니다.
산은캐피탈 사고는 차세대 시스템 구축 과정에서 생성된 테스트 기능이 운영환경에 남아 개인정보 유출 경로가 된 사례다.
이는 소프트웨어 개발 단계에서 정상적으로 필요한 기능이라도 운영 전환 과정에서 제거하거나 접근을 제한하지 않으면 실제 서비스의 보안 취약점이 될 수 있음을 보여준다.
특히 테스트 페이지가 내부 업무시스템의 정보를 조회할 수 있도록 만들어진 경우, 운영환경에서 별도 인증 없이 접근할 수 있는 상태로 남아 있다면 해당 화면은 다른 정보보호 통제를 우회하는 경로로 작동할 수 있다.
따라서 서비스 정식 개통 전에는 개발·시험용 URL과 관리화면, API 등 비업무용 기능의 잔존 여부를 확인하고, 운영 과정에서도 해당 자산을 지속적으로 식별할 필요가 있다.
이번 사고에서 산은캐피탈은 최초 공격 이후 약 101시간 동안 침해 여부를 확인하지 못했다.
회사는 10월 12일 내부 접속 오류를 점검하는 과정에서 테스트 페이지를 발견했지만, 실제 개인정보 유출은 금융보안원이 공유한 공격 IP를 이용해 과거 접속기록을 분석하면서 확인했다.
이는 공격 IP를 사후에 공유받는 방식의 위협정보 활용이 이미 발생한 침해를 발견하는 데 효과가 있을 수 있음을 보여준다. 반면 공개된 공격 IP에 대한 차단이나 사후 조사만으로는 최초 공격 시점의 정보 유출을 방지하기 어렵다는 한계도 드러났다.
특히 인증 없는 정보조회가 가능한 서비스는 단순한 웹페이지 존재 여부뿐 아니라 실제 정보 반환 행위, 비정상적인 조회 빈도, 접근 주체와 대상 정보의 일치 여부 등을 함께 점검할 필요가 있다.
이번 사건은 금융권에서 AI 기반 공격의 악용 가능성이 논의되던 시기에 발생했지만, 구체적인 침해 원인으로 확인된 것은 별도 인증 없이 정보를 조회할 수 있는 테스트 페이지의 방치였다.
공격자가 ARTEX나 다른 AI 도구를 사용했는지와 관계없이, 운영환경에서 제거했어야 할 개발용 기능이 개인정보에 접근할 수 있도록 남아 있었다는 점이 사고의 직접적인 취약 요인이다.
따라서 이 사건은 AI 기반 공격에 대한 별도 탐지 대책뿐 아니라 개발·운영 환경의 분리, 임시 기능 제거, 서버 측 인증·인가 검증 및 외부 노출 자산 관리의 필요성을 보여주는 사례로 평가할 수 있다.
2026년 10월 28일 기준 공개된 자료만으로는 다음 사항을 확인할 수 없다.
- 공격자의 신원·국적·소속 조직
- 산은캐피탈 공격에서 ARTEX 또는 특정 AI 에이전트의 실제 사용 여부
- 금융권 다른 사고와의 동일 공격자 또는 동일 캠페인 여부
- 공격에 이용된 전체 IP 및 각 IP별 접근·유출 기록
- 최초 개인정보 유출 시각과 실제 정보조회 횟수
- 개발용 테스트 페이지가 운영환경에 남게 된 구체적인 배포·검수 경위
- 접근 가능했던 정보의 전체 범위와 추가 유출 가능성
- 금융감독원의 최종 검사 결과 및 제재 여부
- 피해 고객에 대한 별도 보상금 및 실제 손해배상 지급 규모
- ↑ 1.0 1.1 1.2 1.3 연합인포맥스, 「산은캐피탈 "고객 848명 개인정보 유출…재발 방지 약속"」, 2026년 10월 14일, https://news.einfomax.co.kr/news/articleView.html?idxno=4439244
- ↑ 2.00 2.01 2.02 2.03 2.04 2.05 2.06 2.07 2.08 2.09 2.10 뉴스1, 「[단독]인증 없는 테스트 페이지 방치한 산은캐피탈…정보 유출, 나흘 뒤 인지」, 2026년 10월 15일, https://www.news1.kr/finance/general-finance/6320974
- ↑ 3.0 3.1 3.2 3.3 뉴시스, 「산은캐피탈, 해킹 나흘 만에 알았다…방치된 '테스트 페이지' 뚫려」, 2026년 10월 15일, https://mobile.newsis.com/view/NISX20261015_0003826982
- ↑ 4.0 4.1 4.2 금융위원회, 「금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다」, 2026년 10월 14일, https://www.fsc.go.kr/po010101/87927
- ↑ 산은캐피탈, 「고객권리 안내문」, https://www.kdbc.co.kr/policy/customerRight, 확인일: 2026-10-28.