2026년 금융권 AI 해킹 및 정보유출 사태/예가람저축은행

이 문서는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 예가람저축은행에서 발생한 사이버 침해 및 개인정보 유출 사고의 경과, 피해 규모, 공격 방식과 대응 등을 다룬다.

예가람저축은행에서는 2026년 9월 18일부터 해킹 시도가 이어졌으며, 9월 28일 오후 4시 11분부터 고객 개인정보가 실제 유출되기 시작했다. 은행은 9월 30일 오후 2시 50분 유출 사실을 인지했으며, 정보 유출은 같은 날 오후 5시 7분까지 이어졌다.

초기에는 성명·생년월일·연락처 등 약 4만 명의 정보가 유출된 것으로 추정됐으나, 10월 13일 보도에서는 계좌번호·주민등록번호·직장명·주소까지 포함된 개인정보 약 5만 건이 유출된 것으로 추정됐다. 정확한 유출 규모는 아직 파악 중이다.

예가람저축은행은 금융감독원에 홈페이지에서 사용하는 Redis 시스템의 취약점을 노린 공격으로 추정된다고 보고했다.

개요

예가람저축은행은 2026년 10월 2일 홈페이지에 대표이사 명의의 '개인정보 유출 사실 통지 안내 및 사과문'을 게시하고, 9월 30일 고객 개인정보가 포함된 서버에 신원 미상의 해커가 접근해 개인정보가 유출된 정황을 확인했다고 밝혔다.

후속 보도에 따르면 실제 해킹 시도는 이보다 앞선 9월 18일부터 시작됐다. 공격자는 약 열흘 동안 침입을 시도했으며, 9월 28일 오후 4시 11분부터 고객정보가 실제로 유출되기 시작했다. 예가람저축은행은 약 46시간 39분 뒤인 9월 30일 오후 2시 50분 유출 사실을 인지했으며, 정보 유출은 이후에도 약 2시간 17분 동안 이어져 오후 5시 7분 종료됐다. 은행은 금융감독원에 실제 정보 유출이 발생한 시간이 총 48시간 56분이라고 보고했다.

10월 13일 금융감독원은 예가람저축은행과 웰컴저축은행에 대한 현장점검에 착수했다.

피해 내용

초기 공지와 10월 3일 보도에서는 고객 약 4만 명의 성명·생년월일·연락처가 유출된 것으로 추정됐다. 이후 10월 13일 보도에서는 유출 항목이 계좌번호·주민등록번호·직장명·주소 등으로 늘어났고, 유출 규모는 개인정보 약 5만 건으로 추정됐다.

구분	확인된 내용
피해 규모	초기 추정 고객 약 4만 명, 10월 13일 보도 기준 개인정보 약 5만 건 추정
성명	유출 확인
생년월일	유출 확인
연락처	전화번호 또는 휴대전화번호 등 유출 확인
주민등록번호	유출 확인(10월 13일 보도)
계좌번호	유출 확인(10월 13일 보도)
직장명·주소	유출 확인(10월 13일 보도)
정확한 피해 인원	조사 중

약 5만 건은 유출된 개인정보의 건수 추정치로, 피해자 5만 명을 의미하는 것으로 단정할 수 없다. 최종 피해 인원은 아직 확정되지 않았다.

뉴시스 보도 당시 예가람저축은행 전체 고객은 약 20만 명으로 소개됐으며, 추정치대로라면 약 20%에 해당하는 규모다. 다른 보도에서는 4만 명이 2026년 상반기 말 예가람저축은행 거래자 16만 2,731명의 약 25%에 해당한다고 전했다.

10월 22일까지 공개된 자료에서 비밀번호와 거래내역의 유출은 확인되지 않았다.

공격 대상

예가람저축은행은 고객 개인정보가 포함된 서버에 신원 미상의 해커가 접근했다고 밝혔다.

은행 측은 사용 중이던 외부 솔루션 프로그램의 원격 취약점을 통해 해킹이 이뤄진 것으로 추정하고 있다.

뉴시스에 따르면 예가람저축은행 관계자는 회사 내부망과 인터넷 사이에 존재하는 취약한 접점을 통해 침투했을 가능성이 있다고 설명했다.

후속 보도에서는 공격 대상이 보다 구체화됐다. 예가람저축은행은 금융감독원에 홈페이지가 끊김 없이 작동하도록 메모리에 로그인 정보나 데이터를 저장해 운용하는 Redis 시스템의 취약점을 공격자가 노린 것으로 추정된다고 보고했다.

따라서 이번 사고는 외부에서 접근할 수 있는 솔루션 또는 서비스와 내부 개인정보 서버 사이의 접점이 공격에 이용됐을 가능성이 제기되고 있다.

다만 2026년 10월 22일 현재 공격에 이용된 Redis의 구체적인 취약점 및 취약점 식별번호(CVE), 해당 취약점이 알려진 취약점이었는지 여부 등은 공개되지 않았다.

사건 경과

일시	내용
2026년 9월 18일	예가람저축은행을 대상으로 최초 해킹 시도가 발생했다. 이후 약 열흘 동안 침입 시도가 이어졌다.
9월 28일 16시 11분	고객 개인정보가 실제로 유출되기 시작했다.
9월 30일 14시 50분	예가람저축은행이 고객정보 유출 사실을 인지했다. 실제 유출이 시작된 지 약 46시간 39분이 지난 시점이었다.
9월 30일 17시 07분	정보 유출이 종료됐다. 예가람저축은행은 실제 정보 유출이 발생한 시간이 총 48시간 56분이라고 금융감독원에 보고했다.
9월 30일 이후	예가람저축은행이 관련 서비스를 중단하고 공격에 사용된 외부 IP를 차단하는 등 긴급조치를 실시했다. 추가 피해 방지를 위한 보안 모니터링도 강화했다.
인지 후 24시간 이내	예가람저축은행이 금융당국에 침해사고를 신고했다.
10월 2일	예가람저축은행이 홈페이지에 대표이사 명의의 '개인정보 유출 사실 통지 안내 및 사과문'을 게시했다. 이 안내문에는 유출 항목이 성명·생년월일·연락처로만 기재됐다.
10월 3일	약 4만 명의 고객 개인정보가 유출된 것으로 추정된다는 사실이 공개됐다. 후속 보도를 통해 9월 18일부터 공격이 시작됐고 Redis 시스템의 취약점이 공격에 이용된 것으로 추정된다는 사실도 알려졌다.
10월 4일	금융당국이 전 금융권 긴급 점검회의를 개최했다. 예가람저축은행을 포함한 7개 금융회사 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 확인됐으며 AI 도구를 이용한 대량·자동화 공격 가능성이 제기됐다.
10월 6일	예가람저축은행을 포함한 7개 피해 금융회사의 공격 IP에서 AI 기반 자율 침투테스트 도구 ARTEX 관련 흔적이 확인돼 경찰이 연관성을 조사 중인 것으로 전해졌다.
10월 6일	금융감독원은 금융권 연쇄 해킹과 관련해 확인된 공격 IP가 총 33개이며 중복을 제거하면 28개라고 밝혔다. 해당 IP와 일부 국가 정보는 금융권에 공유됐다.
10월 6일	경찰청 국가수사본부가 금융권 연쇄 해킹 사건을 정보통신망법 위반 혐의로 입건하고 정식 수사로 전환했다. 경찰청 사이버테러수사대를 전담수사팀으로 지정해 4개 팀 28명을 투입했다.
10월 6일	저축은행 79곳이 금융당국 요청에 따라 전산시스템과 외부 접속 서비스 등을 자체 점검한 결과 예가람저축은행과 웰컴저축은행 외에 추가 해킹 피해는 확인되지 않은 것으로 파악됐다. 예가람저축은행의 유출은 저축은행중앙회 통합금융정보시스템(IFIS)이 아니라 별도로 운영하던 자체 서비스 사이트에서 발생한 것으로 전해졌다.
10월 8일	개인정보보호위원회가 신한은행과 예가람저축은행 해킹 사건을 전담 조사단이 투입되는 '중요사건'으로 지정한 것으로 보도됐다.
10월 13일	금융감독원이 예가람저축은행에 대한 현장점검에 착수했다. 같은 날 보도에서 유출 규모는 개인정보 약 5만 건으로 추정됐으며, 유출 항목에 계좌번호·주민등록번호·직장명·주소가 포함된 것으로 전해졌다.
10월 14일	금융위원회가 제2차 긴급 상황대응 회의에서 신한은행 사고 전후로 침해사고가 확인된 금융회사가 16곳이며 유출 개인정보가 약 10만 건이라고 밝혔다. 예가람저축은행도 16개사에 포함됐다.

공격 방식

예가람저축은행은 현재 사용 중인 외부 솔루션 프로그램의 원격 취약점을 해커가 악용해 개인정보가 포함된 서버에 접근한 것으로 추정하고 있다.

후속 보도에 따르면 예가람저축은행은 금융감독원에 홈페이지에서 로그인 정보나 데이터를 메모리에 저장해 운용하는 Redis 시스템의 취약점을 공격자가 노린 것으로 추정된다고 보고했다.

이는 단순히 정상적인 고객 조회 기능을 반복 호출해 정보를 수집한 것인지, 서버 자체에 대한 침입이 발생한 것인지 명확하지 않았던 일부 다른 금융회사 사고와 달리, 예가람저축은행 측이 외부 솔루션의 취약점을 통한 서버 접근 가능성을 직접 제시했다는 특징이 있다.

다만 구체적으로 다음 사항은 공개되지 않았다.

• 공격에 이용된 Redis의 구체적인 구성과 버전
• 이용된 취약점의 종류와 취약점 식별번호(CVE)
• 취약점이 알려진 취약점이었는지 또는 당시 알려지지 않은 취약점이었는지 여부
• 최초 침투 이후 개인정보 서버까지 접근한 구체적인 경로
• 공격자가 시스템 권한을 획득했는지 여부
• 악성코드 설치 여부
• 개인정보를 추출한 구체적인 방식
• 공격 요청 횟수

금융당국은 최근 금융회사 침해사고를 분석해 ▲본인확인이 누락된 정보조회 서비스 ▲모바일 단말기 접근통제가 누락되거나 권한 없는 접근이 가능한 직원 업무지원 서비스 ▲알려진 취약점을 이용해 악성코드를 설치하고 고객정보가 포함된 로그파일을 탈취한 홈페이지 서비스 등 크게 세 가지 유형의 취약 사례를 파악했다.

다만 금융당국이 공개한 유형별 설명 가운데 어느 유형이 예가람저축은행 사고에 해당하는지는 공개된 자료만으로 확정하기 어렵다.

AI 활용 여부

예가람저축은행 사고가 공개될 당시에는 신한은행·KB국민은행·하나은행·BNK부산은행 등에서 AI를 활용한 것으로 추정되는 공격이 잇따라 확인되고 있었다.

그러나 예가람저축은행은 사고 초기 조사에서 AI 침투 흔적은 발견되지 않았다고 밝혔다.

예가람저축은행 관계자는 해커에 의한 공격으로 추정하고 있지만 AI 이용 가능성도 배제할 수 없어 추가 확인한 뒤 공지하겠다는 입장을 밝혔다.

금융감독원 역시 10월 3일 당시 예가람저축은행 해킹은 시중은행들을 대상으로 한 AI 해킹과는 다른 유형으로 파악하고 있다고 설명했다.

이후 10월 4일 금융당국은 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사의 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐다고 밝혔다.

공격자는 IP를 변경하면서 지속적으로 공격한 것으로 파악됐으며, 금융당국은 공격자가 AI 도구를 활용해 다수 금융회사를 대상으로 대량·자동화된 공격을 수행했을 가능성이 있다고 보고 있다.

10월 6일에는 예가람저축은행을 포함한 7개 피해 금융회사의 공격 IP에서도 ARTEX 관련 흔적이 확인돼 경찰이 조사 중인 것으로 전해졌다.

따라서 사고 초기 예가람저축은행 자체 조사에서는 AI 침투 흔적이 확인되지 않았고 금융감독원도 시중은행 공격과 다른 유형으로 파악했으나, 이후 전체 금융권 공격 인프라에 대한 조사에서는 예가람저축은행 관련 공격 IP에서도 ARTEX 흔적이 확인된 상태다. 다만 이 흔적만으로 예가람저축은행에 대한 실제 침투 과정에서 ARTEX가 사용됐다고 확정할 수는 없다.

10월 14일 금융위원회는 16개사 사고 사이의 연관성, 동일 공격자 여부, AI 활용 여부를 계속 조사하고 있다고 밝혔다.

ARTEX 관련 여부

신한은행 등 은행권 침해사고 조사에서는 AI 기반 자율 침투테스트 시스템 ARTEX와 관련된 흔적이 공격 인프라에서 발견됐다.

사고 초기에는 예가람저축은행 자체 조사에서 AI 침투 흔적이 발견되지 않았으며, 금융감독원도 예가람저축은행 해킹을 시중은행들을 대상으로 한 AI 해킹과 다른 유형으로 파악하고 있다고 설명했다.

그러나 10월 6일 금융보안 관계자에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 피해 금융회사의 공격 IP에서도 ARTEX AI의 흔적이 확인돼 경찰청 사이버수사국이 조사 중인 것으로 전해졌다.

다만 ARTEX는 누구나 구축할 수 있는 공개 오픈소스 도구이며, 공격 IP에서 관련 흔적이 발견됐다는 사실만으로 ARTEX가 예가람저축은행의 실제 침투 과정에서 직접 사용됐거나 특정 공격자가 해당 도구를 운용했다고 확정할 수는 없다.

또한 현재까지 공개된 예가람저축은행의 구체적인 침입 경로는 Redis 시스템을 포함한 외부 솔루션의 원격 취약점 악용 가능성이다.

예가람저축은행 대응

예가람저축은행은 개인정보 유출 정황을 확인한 뒤 다음과 같은 조치를 시행했다고 밝혔다.

• 관련 서비스 중단
• 공격에 사용된 외부 IP 차단
• 추가 피해 확산 방지를 위한 보안 모니터링 강화
• 피해 사실 인지 후 24시간 이내 금융당국 신고
• 개인정보 유출 대상 고객에 대한 안내
• 피해 고객 대상 안내 문자 발송
• 피해구제를 위한 고객센터 운영

예가람저축은행은 고객센터를 통해 피해 사항을 확인하고 필요한 구제 절차를 지원할 예정이라고 밝혔다.

또한 정보 유출 대상 고객에게 본인의 개인정보 유출 여부를 확인할 수 있는 안내 문자를 발송한 것으로 전해졌다.

예가람저축은행은 10월 2일 처음 게시한 안내문에서 유출 항목을 성명·생년월일·연락처로만 기재했으나, 이후 주민등록번호·계좌번호·주소 등도 유출된 사실이 알려지자 안내문을 뒤늦게 수정했다.

금융권 연쇄 해킹 사건과의 관계

예가람저축은행 사고는 2026년 금융권 AI 해킹 및 정보유출 사태가 시중은행에서 저축은행·캐피탈 등 제2금융권으로 확대되는 과정에서 확인된 대표적인 사례다.

사고 초기에는 예가람저축은행이 AI 침투 흔적을 발견하지 못했다고 밝혔고, 외부 솔루션 프로그램의 원격 취약점 악용을 주요 침입 원인으로 추정했다. 금융감독원도 당시 예가람저축은행 사고를 시중은행을 겨냥한 AI 해킹과 다른 유형으로 파악하고 있다고 설명했다.

그러나 10월 4일 금융당국의 후속 조사에서는 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐다.

공격자는 여러 IP를 변경하면서 공격을 지속했으며 금융당국은 AI 도구를 활용한 대량·자동화 공격 가능성을 제기했다.

다만 시중은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 다른 것으로 파악됐다. 따라서 예가람저축은행이 신한은행 등과 동일한 IP 주소로 직접 공격받았다고 볼 수는 없으며, 여러 공격 인프라가 동일 공격자에 의해 운용됐을 가능성이 조사되고 있는 것으로 보는 것이 정확하다.

10월 6일에는 예가람저축은행을 포함한 7개 피해 금융회사의 공격 IP에서도 ARTEX 관련 흔적이 확인돼 경찰이 조사 중인 것으로 전해졌다. 다만 모든 사고가 동일한 공격자에 의해 수행됐는지와 예가람저축은행 침투 과정에서 ARTEX가 실제 사용됐는지는 아직 확인되지 않았다.

같은 날 금융당국 요청에 따라 저축은행 79곳이 전산시스템과 외부 접속 서비스 등을 자체 점검한 결과 예가람저축은행과 웰컴저축은행 외에 추가 해킹 피해는 확인되지 않은 것으로 파악됐다. 예가람저축은행은 저축은행중앙회 통합금융정보시스템(IFIS)을 이용하고 있으나 이번 개인정보 유출은 IFIS가 아니라 별도로 운영하던 자체 서비스 사이트에서 발생한 것으로 전해졌다.

다만 이후 저축은행업권에서는 DB저축은행과 OK저축은행에서도 침해사고가 확인됐다. 10월 14일 금융위원회가 밝힌 침해사고 발생 금융회사 16곳에는 저축은행 4곳(예가람·웰컴·DB·OK저축은행)이 포함됐다.

금융당국 대응

예가람저축은행과 현대캐피탈 등 제2금융권에서도 개인정보 유출 사고가 확인되면서 금융당국은 기존 은행권 중심의 대응을 전 금융업권으로 확대했다.

금융당국은 10월 4일 이억원 금융위원장 주재로 금융감독원과 금융보안원, 전 금융업권 관계자 및 침해사고 발생 금융회사 등이 참여한 전 금융권 긴급 점검회의를 개최했다.

금융당국은 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 침해사고가 확인됐다고 밝혔다.

금융감독원과 금융보안원은 약 500개 금융회사에 공격 IP와 보안 유의사항을 전파하고 자체 시스템의 접속 기록과 공격 IP를 대조하도록 했다.

금융회사들은 외부 노출 IT 자산과 서비스, 인증·접근통제, 취약점 관리 등을 포함한 긴급 보안점검을 실시하도록 요구받았다. 은행·카드사는 10월 6일까지, 증권·보험·저축은행·전자금융업자 등은 10월 8일까지 점검을 완료하도록 했다.

10월 6일 금융감독원은 최근 금융권 침해사고와 관련해 해킹을 시도한 IP 주소가 중복 포함 총 33개, 중복 제거 시 28개라고 밝혔다. 금융감독원과 금융보안원은 이들 IP와 일부 국가 정보를 금융회사에 전파했다.

같은 날 저축은행업권의 자체 점검 결과 예가람저축은행과 웰컴저축은행 외에 추가 피해는 확인되지 않은 것으로 파악됐다.

10월 13일 금융감독원은 예가람저축은행과 웰컴저축은행에 대한 현장점검에 착수해 해킹 사고 원인과 정보 유출 경위 등을 살펴보고 있다. 금융감독원은 점검 상황에 따라 정식 검사로 전환할지 결정할 계획이다. 10월 22일까지 검사 전환 여부는 공개적으로 확인되지 않았다.

10월 14일 금융위원회는 제2차 긴급 상황대응 회의를 열고 신한은행 사고 전후로 침해사고가 확인된 금융회사가 예가람저축은행을 포함해 16곳이며, 지금까지 파악된 개인정보 유출 규모는 약 10만 건이라고 밝혔다. 금융회사 555곳의 자체 점검에서는 130곳이 일부 보안관리 미흡 사항을 보고했으며, 미흡 사항은 전자금융업과 온라인투자연계금융업에서 상대적으로 많았다.

별도로 개인정보보호위원회가 신한은행과 예가람저축은행 해킹 사건을 '중요사건'으로 지정해 안전조치 의무와 유출 통지·신고 의무 이행 여부 등을 조사하는 것으로 보도됐다.

경찰 조사

10월 6일 경찰청 국가수사본부는 금융권 연쇄 해킹 사건을 정보통신망법 위반 혐의로 입건하고 정식 수사에 착수했다. 경찰청 사이버테러수사대를 전담수사팀으로 지정했으며 4개 팀 28명으로 구성됐다.

경찰은 예가람저축은행을 포함한 피해 금융회사와 관련된 공격 인프라와 ARTEX 관련 흔적, 여러 금융회사 공격 사이의 연관성 등을 조사하고 있다.

10월 22일 기준 공격자의 신원·국적·소속이나 여러 금융회사 침해사고가 모두 동일 공격자에 의해 수행됐는지는 확정되지 않았다.

피해 고객 대응

예가람저축은행은 개인정보가 유출된 것으로 추정되는 고객에게 개별 안내를 진행하고 피해구제를 위한 고객센터를 운영한다고 밝혔다.

유출 정보에는 성명·생년월일·연락처뿐 아니라 주민등록번호·계좌번호·직장명·주소 등이 포함된 것으로 전해져, 공격자가 이를 금융기관 또는 예가람저축은행을 사칭하는 전화·문자 등에 악용할 가능성이 있다.

예가람저축은행은 10월 3일 당시 확인된 2차 피해는 없다고 밝혔다. 10월 22일까지 공개된 자료에서도 유출된 개인정보를 이용한 실제 금융피해가 발생했다는 사실은 확인되지 않았다.

확인되지 않은 사항

2026년 10월 22일 기준 다음 사항은 공개된 조사 결과만으로 확정할 수 없다.

• 정확한 개인정보 유출 인원과 최종 유출 건수
• Redis의 구체적인 취약점 및 취약점 식별번호(CVE)
• 취약점이 알려진 취약점이었는지 여부
• 최초 침투 이후 개인정보 서버까지 접근한 구체적인 경로
• 공격자가 획득한 시스템 권한의 범위
• 악성코드 설치 여부
• 개인정보를 추출한 구체적인 방식
• ARTEX가 예가람저축은행의 실제 침투 과정에서 사용됐는지 여부
• ARTEX가 사용됐다면 구체적으로 수행한 기능
• 다른 금융회사 침해사고와 동일한 공격자가 수행했는지 여부
• 공격자의 신원·국적·소속 및 공격 목적
• 유출된 개인정보를 이용한 2차 피해 발생 여부
• 금융감독원 현장점검의 정식 검사 전환 여부와 점검 결과
• 개인정보보호위원회 조사 결과와 제재 여부