2026년 금융권 AI 해킹 및 정보유출 사태/새마을금고중앙회

2026년 금융권 AI 해킹 및 정보유출 사태/새마을금고중앙회 문서는 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 새마을금고중앙회에서 확인된 외부 공격과 공제회원 개인정보 유출 사고의 경과, 피해 규모와 대응 등을 다룬다.

새마을금고중앙회는 금융권 연쇄 공격 초기에 신한은행 공격과 같은 IP의 접근을 차단했으나, 2026년 10월 10일 오후 별도의 공격으로 공제사업 관련 홈페이지가 침해돼 공제회원 400명대의 개인정보가 유출됐다.

개요

10월 초 금융권 연쇄 공격이 확인됐을 때 새마을금고중앙회는 신한은행 공격에 사용된 것과 같은 IP의 접근을 차단해 정보 유출을 막은 것으로 알려졌다.

그러나 10월 10일 오후 중앙회 공제사업 부문의 신용공제회 홈페이지가 다시 공격받아 정보가 유출됐다. 중앙회는 12일 오후 사고를 인지했고, 13일 유출 사실을 공개했다.

10월 14일 금융위원회가 밝힌 신한은행 침해사고 전후 침해사고가 확인된 16개 금융회사에는 새마을금고중앙회가 상호금융권의 피해 기관으로 포함됐다.

피해 내용

구분	확인된 내용
공격 일시	2026년 10월 10일 오후
공격 대상	중앙회 공제사업 부문의 신용공제회 홈페이지
피해자	공제회원 400명대
유출 항목	고객번호, 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 휴대전화번호, 집·회사 전화번호, 집·회사 주소, 이메일주소, 잔액
예·적금 고객	정보 유출 피해 없음

유출된 정보는 고객마다 차이가 있다. 경향신문은 피해 규모가 더 늘어날 수 있다고 보도했다.

사건 경과

일시	내용
2026년 10월 초	금융권 연쇄 공격 과정에서 신한은행 공격과 같은 IP의 접근을 차단해 정보 유출을 막았다.
10월 10일 오후	공제사업 관련 홈페이지가 공격받아 공제회원 정보가 유출됐다.
10월 12일 오후	중앙회가 사고를 인지했다.
10월 13일	중앙회가 공제회원 400명대의 정보 유출을 공개하고 피해 고객에게 문자로 개별 통지를 시작했다. 같은 날 오후 한국인터넷진흥원(KISA)에 공격과 피해를 신고했다.
10월 14일	금융위원회가 침해사고가 확인된 16개 금융회사를 발표했으며, 새마을금고중앙회가 포함됐다.

공격 방식

경향신문에 따르면 이번 공격에는 앞서 금융권을 겨냥한 IP가 아닌 한국·중국·태국 소재 IP가 사용됐다. SBS Biz는 앞서 해외 IP의 비정상 접근을 차단했던 새마을금고가 수십 개의 새로운 IP로부터 다시 공격받았으며, 공격 IP 소재지가 중국·태국·한국 3곳으로 잠정 확인됐다고 보도했다. 사용된 IP의 개수는 보도마다 다르다.

공격 대상이 된 공제사업 관련 홈페이지는 상대적으로 보안이 취약했던 것으로 보도됐다. 다만 공격에 이용된 구체적인 취약점은 공개되지 않았다.

새마을금고중앙회 대응

중앙회는 해커가 접속한 IP와 우회 접속에 사용된 IP를 차단하고, 홈페이지 취약점 점검과 보안 강화를 진행했다고 밝혔다. 유출 고객에게는 문자로 개별 통지했으며, 유출로 고객 피해가 발생하면 전액 보상하겠다고 밝혔다. 문의와 피해 접수는 공제지원센터에서 받는다.

중앙회는 한국인터넷진흥원에 신고하고 감독기관인 행정안전부에 보고했으며, 전자금융거래법에 따라 금융당국에도 침해사고를 보고했다. 또 개인정보 보호 체계와 관리 절차 전반을 점검하겠다고 밝혔다.

감독당국 대응

새마을금고는 행정안전부의 감독을 받는다. 행정안전부는 금융감독원·예금보험공사 등 관계기관과 새마을금고에 대한 긴급 점검을 실시하고, 다음 달 예정된 종합검사에서 보안 시스템 전반을 점검하겠다고 밝혔다.

10월 14일 금융위원회는 제2차 긴급 상황대응 회의에서 16개 금융회사의 침해사고와 약 10만 건의 개인정보 유출을 밝히고, 각 사고의 침입 경로와 공격 방식, 동일 주체 여부와 AI 해킹 가능성을 계속 조사한다고 설명했다.

금융권 연쇄 해킹 사건과의 관계

새마을금고중앙회는 금융권 연쇄 공격 초기에 공격 IP의 접근을 받았으나 이를 차단했고, 실제 유출은 10월 10일의 별도 공격에서 발생했다.

머니투데이는 이번 공격을 최근 국내 금융권을 잇달아 공격한 해커의 소행으로 추정했지만, SBS Biz는 앞선 해킹 사고들과 다른 공격자에 의한 것으로 추정된다고 보도했다. 경향신문도 금융권의 AI 에이전트 활용 해킹 공격과의 연관성은 아직 확인되지 않았다고 전했다.

따라서 10월 10일 공격이 은행권 공격과 동일한 공격자에 의한 것인지, AI 도구나 ARTEX가 사용됐는지는 확인되지 않았다.

확인되지 않은 사항

2026년 10월 22일 현재 다음 사항은 공개된 자료로 확인되지 않았다.

• 최종 피해 인원
• 공격에 이용된 구체적인 취약점
• 10월 10일 공격의 실행 주체와 은행권 공격과의 연관성
• AI 도구 또는 ARTEX 사용 여부
• 행정안전부 긴급 점검 결과
• 2차 피해 발생 여부

같이 보기

• 2026년 금융권 AI 해킹 및 정보유출 사태
• 2026년 금융권 AI 해킹 및 정보유출 사태/OK저축은행
• 2026년 금융권 AI 해킹 및 정보유출 사태/신한은행
• 개인정보 유출
• 침해사고