2026년 금융권 AI 해킹 및 정보유출 사태/웰컴저축은행

이 문서는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 웰컴저축은행에서 발생한 사이버 침해 및 정보유출 사고의 경과, 피해 규모, 공격 방식과 대응 등을 다룬다.

웰컴저축은행은 2026년 10월 2일 금융권 공격 IP를 대상으로 한 자체 점검 과정에서 해킹 공격으로 법인 고객 관련 정보가 유출된 사실을 확인하고 10월 3일 금융당국에 보고했다. 금융감독원에 제출된 사고보고서에 따르면 침해사고는 9월 27일 오후 5시 9분께 발생했다. 유출 데이터는 총 2,370건이며, 이 가운데 개인정보가 포함된 데이터는 2,299건으로 추정됐다. 법인 인터넷 뱅킹 아이디, 법인명, 대표자 이름, 업무 연락처, 휴대전화번호, 이메일주소 등이 유출된 것으로 파악됐다.

개요

웰컴저축은행은 저축은행중앙회 공동전산망이 아닌 자체 전산망을 사용하는 회사로, 별도로 운영하던 외부 시스템을 통한 정보 유출이 확인됐다.

한창민 사회민주당 의원이 금융감독원으로부터 제출받은 사고보고서에 따르면 웰컴저축은행에서는 2026년 9월 27일 오후 5시 9분께 침해사고가 발생했다. 웰컴저축은행은 신한은행 사고 이후 금융보안원이 공유한 공격 IP 관련 메일을 계기로 자체 점검에 나섰고, 10월 2일 오후 4시 4분께 사고 사실을 인지했다. 이후 10월 3일 금융당국에 정보유출 사실을 보고했다.

사고 초기 언론 보도에서는 유출 정보가 법인명, 법인 담당자의 이름·이메일주소·전화번호 등 약 2,200건으로 전해졌다. 이후 사고보고서를 인용한 보도에서는 유출 항목이 법인 인터넷 뱅킹 아이디, 법인명, 대표자 이름, 업무 연락처, 휴대전화번호, 이메일주소 등으로 구체화됐고, 유출 데이터는 총 2,370건, 개인정보가 포함된 데이터는 2,299건으로 추정됐다.

웰컴저축은행은 정확한 정보유출 경위와 최종 피해 규모를 조사하고 있다.

웰컴저축은행 사고가 확인되면서 2026년 9월 말부터 개인정보 또는 관련 정보의 유출이 확인된 주요 금융회사는 신한은행·KB국민은행·하나은행·BNK부산은행·예가람저축은행·현대캐피탈·웰컴저축은행 등 7개사로 늘어났다.

10월 4일 금융당국은 이들 7개 금융회사에 대한 침해사고 분석에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐다고 밝혔다. 공격자가 IP를 변경하며 공격을 지속했고, AI 도구를 이용해 여러 금융회사를 대상으로 대량·자동화된 공격을 수행했을 가능성도 제기됐다.

10월 14일 금융위원회는 신한은행 사고 전후로 침해사고가 확인된 금융회사가 웰컴저축은행을 포함해 16곳이라고 밝혔다.

피해 내용

금융감독원에 제출된 사고보고서 기준 웰컴저축은행의 유출 데이터는 총 2,370건이며, 이 가운데 개인정보가 포함된 데이터는 2,299건으로 추정됐다. 중복값을 제외한 정보주체 기준 유출 규모는 추후 다시 보고할 예정이라고 했다.

구분	확인된 내용
정보주체	웰컴저축은행 법인 고객과 해당 법인의 대표자 등
유출 규모	전체 유출 데이터 2,370건, 이 가운데 개인정보 포함 데이터 2,299건 추정
법인 인터넷 뱅킹 아이디	유출 확인
법인명	유출 확인
대표자 이름	유출 확인
업무 연락처·휴대전화번호	유출 확인
이메일주소	유출 확인
주민등록번호	10월 22일까지 공개된 자료에서 유출 사실 확인되지 않음
계좌번호·비밀번호	10월 22일까지 공개된 자료에서 유출 사실 확인되지 않음

여기서 2,370건과 2,299건은 피해 인원이 아니라 유출된 데이터의 건수다. 정보주체 기준의 중복 제거 결과는 10월 22일까지 공개되지 않았다.

초기 보도의 약 2,200건과 '법인 담당자' 표현은 사고 초기 추정에 따른 것이며, 이후 사고보고서를 인용한 보도에서는 대표자 이름과 법인 인터넷 뱅킹 아이디 등이 유출 항목으로 제시됐다.

10월 22일까지 공개된 자료에서는 주민등록번호, 계좌번호, 비밀번호 등 금융거래에 직접 이용될 수 있는 민감정보의 유출은 확인되지 않았다.

사건 경과

일시	내용
2026년 9월 27일 17:09경	금융감독원에 제출된 사고보고서 기준 웰컴저축은행에서 침해사고가 발생했다.
10월 2일 16:04경	웰컴저축은행이 금융보안원이 공유한 공격 IP 관련 메일을 계기로 자체 점검을 하던 중 사고 사실을 인지했다.
10월 2일 16:12	웰컴저축은행이 해당 IP를 차단했으며, 1분 뒤 운영 담당자에게 상황을 전파했다.
10월 2일 16:25경	해킹 공격이 종료된 것으로 보고됐다.
10월 3일	웰컴저축은행이 정보유출 사실을 금융당국에 보고했다.
10월 4일	법인 고객 관련 정보 약 2,200건이 유출된 것으로 추정된다는 사실이 공개됐다.
10월 4일	금융당국이 전 금융권 긴급 점검회의를 개최했다. 웰컴저축은행을 포함한 7개 금융회사 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 확인됐으며 AI를 활용한 대량·자동화 공격 가능성이 제기됐다.
10월 7일	한창민 의원이 금융감독원에서 받은 사고보고서를 통해 침해 발생·인지 시각과 유출 데이터 2,370건(개인정보 포함 2,299건) 등이 공개됐다.
10월 13일	금융감독원이 웰컴저축은행과 예가람저축은행에 대한 현장점검에 착수했다.
10월 14일	금융위원회가 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사 16곳과 약 10만 건의 개인정보 유출 규모를 발표했다. 웰컴저축은행도 16개사에 포함됐다.

공격 대상과 침입 경로

웰컴저축은행 사고는 저축은행중앙회 공동전산망이 아니라 웰컴저축은행이 별도로 운영하던 외부 시스템을 통해 발생한 것으로 전해졌다.

다만 2026년 10월 22일 현재 공격을 받은 구체적인 시스템이나 웹페이지, 최초 침입 경로는 공개되지 않았다.

따라서 다른 금융회사 사고에서 확인된 외부 조회페이지, 직원 업무지원시스템, 외부 솔루션 등의 공격 경로를 웰컴저축은행 사고에도 그대로 적용할 수 없다.

특히 다음 사항은 공개되지 않았다.

• 최초 공격 대상 시스템의 구체적인 기능
• 외부에 공개된 웹페이지가 공격에 이용됐는지 여부
• 공격에 이용된 구체적인 취약점
• 인증 또는 접근통제 우회 여부
• 법인 고객 관련 정보가 저장된 시스템의 구성
• 공격자가 서버 또는 내부 시스템에 직접 접근했는지 여부
• 악성코드 설치 여부
• 개인정보를 조회하거나 추출한 구체적인 방식

AI 활용 여부

웰컴저축은행 사고는 신한은행·KB국민은행·하나은행·BNK부산은행·예가람저축은행·현대캐피탈 등에서 침해사고가 잇따라 확인된 과정에서 자체점검을 통해 발견됐다.

10월 4일 금융당국은 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사의 침해사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐다고 밝혔다.

금융당국에 따르면 공격자는 하나의 IP를 계속 사용하지 않고 IP를 변경하면서 공격을 지속했다. 또한 여러 금융회사를 대상으로 유사한 공격이 이뤄진 점 등을 토대로 AI 도구를 활용한 대량·자동화 공격 가능성이 제기됐다.

다만 이는 여러 금융회사의 사고를 종합적으로 분석한 결과이며, 웰컴저축은행 개별 사고에서 특정 AI 모델이나 AI 에이전트가 사용됐다는 사실이 확인됐다는 의미는 아니다.

2026년 10월 22일까지 공개된 웰컴저축은행 개별 사고 자료에서는 사용된 AI 도구, 공격 자동화 방식 및 AI가 담당한 구체적인 공격 단계가 확인되지 않았다.

ARTEX 관련 여부

신한은행 등 은행권 침해사고 조사에서는 AI 기반 자율 침투테스트 시스템 ARTEX와 관련된 흔적이 공격 인프라에서 확인됐다.

10월 6일에는 웰컴저축은행을 포함한 7개 피해 금융회사의 공격 IP에서도 ARTEX 관련 흔적이 확인돼 경찰이 조사 중인 것으로 전해졌다.

그러나 웰컴저축은행에 대한 실제 침투 과정에서 ARTEX가 사용됐다는 사실은 2026년 10월 22일 현재 공개적으로 확인되지 않았다.

금융당국은 시중은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 달랐지만 공격 수법은 유사한 것으로 파악했다.

따라서 은행권 공격 인프라에서 확인된 ARTEX 관련 흔적을 근거로 웰컴저축은행 공격에도 ARTEX가 사용됐다고 단정할 수 없다.

다른 금융회사 사고와의 관계

웰컴저축은행은 2026년 10월 4일 금융당국이 침해사고 발생 사실을 파악한 주요 금융회사 7개사 가운데 하나다.

당시 확인된 금융회사는 다음과 같다.

• 신한은행
• KB국민은행
• 하나은행
• BNK부산은행
• 예가람저축은행
• 웰컴저축은행
• 현대캐피탈

금융당국은 이들 사고에서 동일 공격자의 것으로 추정되는 IP가 여러 곳에서 발견됐다고 밝혔다.

다만 시중은행 공격에 사용된 IP와 저축은행·캐피탈사 공격에 사용된 IP 자체는 서로 다른 것으로 파악됐다. 금융당국은 공격자가 IP를 변경하면서 공격을 지속한 것으로 보고 있으며, 서로 다른 IP에서도 유사한 공격 수법이 확인됐다고 설명했다.

따라서 웰컴저축은행이 신한은행이나 KB국민은행 등과 동일한 IP 주소로 직접 공격받았다고 보는 것은 정확하지 않다.

10월 14일 금융위원회가 밝힌 침해사고 발생 금융회사는 은행 4곳, 저축은행 4곳(예가람·웰컴·DB·OK저축은행), 여신전문금융회사 2곳, 온라인투자연계금융업자 2곳, 전자금융업자 1곳, 가상자산사업자 2곳, 상호금융 1곳 등 16곳으로 늘어났다. 금융당국은 사고 사이의 연관성, 동일 공격자 여부, AI 활용 여부를 계속 조사하고 있으며, 10월 22일 현재 공격자의 신원이나 조직은 공개적으로 확인되지 않았다.

웰컴저축은행 대응

웰컴저축은행은 금융보안원이 공유한 공격 IP를 계기로 자체 점검을 하던 중 10월 2일 사고를 인지하고, 같은 날 오후 4시 12분 해당 IP를 차단했다. 1분 뒤에는 운영 담당자에게 상황을 전파했다.

웰컴저축은행은 10월 3일 금융당국에 보고했으며, 이후 정확한 정보유출 경위와 피해 규모를 조사하고 있다고 밝혔다.

2026년 10월 22일까지 공개된 자료에서는 피해 고객 개별 통지 방식, 보상 방안, 재발방지 대책 등 구체적인 후속 조치의 세부 내용은 확인되지 않았다.

금융당국 대응

웰컴저축은행 사고가 추가로 확인되면서 2026년 10월 초 금융권 침해사고가 시중은행뿐 아니라 저축은행·캐피탈 등 제2금융권으로 확대된 사실이 확인됐다.

금융당국은 10월 4일 이억원 금융위원장 주재로 금융감독원과 금융보안원, 은행·금융투자·보험·여신전문금융·저축은행·상호금융·가상자산·핀테크 등 금융권 관계자들이 참석한 전 금융권 긴급 점검회의를 개최했다.

금융당국은 신한·KB국민·하나·BNK부산은행과 현대캐피탈, 예가람·웰컴저축은행 등 7개 금융회사에서 정보유출이 확인됐다고 밝혔다.

금융감독원과 금융보안원은 전 금융권 약 500개 금융회사에 공격 IP와 보안 유의사항을 전파하고 외부에 노출된 IT 자산과 서비스, 인증 및 접근통제, 취약점 관리 등에 대한 긴급 점검을 요구했다.

금융당국은 침해사고 분석 과정에서 크게 다음과 같은 유형의 취약 사례를 파악했다.

• 본인확인이 누락된 정보조회 서비스
• 모바일 단말기 접근통제가 누락되거나 권한 없는 접근이 가능한 직원 업무지원 서비스
• 알려진 취약점을 이용해 악성코드를 설치하고 고객정보가 포함된 로그파일을 탈취한 홈페이지 서비스

다만 이 가운데 어느 유형이 웰컴저축은행 사고에 해당하는지는 10월 22일까지 공개적으로 확인되지 않았다.

금융당국은 이미 공유된 공격정보와 사고 사례가 있는데도 필요한 보안점검과 대응을 소홀히 해 유사 사고가 발생할 경우 관련 법령에 따라 책임을 엄정하게 묻겠다고 밝혔다.

10월 13일 금융감독원은 웰컴저축은행과 예가람저축은행에 대한 현장점검에 착수했다. 금융감독원은 점검 상황에 따라 정식 검사로 전환할지 결정할 계획이다. 10월 22일까지 검사 전환 여부는 공개적으로 확인되지 않았다.

10월 14일 금융위원회는 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사가 16곳, 유출 개인정보가 약 10만 건이라고 밝혔다. 금융회사 555곳의 자체 점검에서는 130곳이 일부 보안관리 미흡 사항을 보고했다.

국회 지적

10월 7일 한창민 의원은 웰컴저축은행과 현대캐피탈이 해킹 공격을 받고도 사고 사실을 파악하기까지 닷새 가까이 걸렸다고 지적했다. 한 의원은 반복되는 개인정보 유출 사고에도 금융회사가 제대로 대응하지 못했다며, 국정감사에서 금융회사와 감독당국의 책임을 살펴보겠다고 밝혔다.

금융거래 정보 유출 여부

웰컴저축은행 사고에서 공개된 유출 정보는 법인 인터넷 뱅킹 아이디, 법인명, 대표자 이름, 업무 연락처, 휴대전화번호, 이메일주소 등이다.

현재까지 계좌번호·비밀번호 등 금융거래에 직접 사용될 수 있는 정보가 유출됐다는 사실은 공개적으로 확인되지 않았다.

금융당국도 10월 4일 금융권 전체 침해사고와 관련해 현재까지 부정결제 등에 직접 사용될 수 있는 민감정보가 유출된 정황은 확인되지 않았다고 밝혔다.

다만 법인명과 대표자 이름·전화번호·이메일주소, 인터넷 뱅킹 아이디 등이 결합될 경우 해당 법인이나 금융회사를 사칭하는 피싱·스미싱 등 2차 공격에 악용될 가능성이 있어 금융당국은 2차 피해 가능성을 경계하고 있다.

확인되지 않은 사항

2026년 10월 22일 기준 다음 사항은 공개된 자료만으로 확정할 수 없다.

• 9월 27일 침해사고 발생부터 10월 2일 공격 종료까지의 구체적인 공격 양상
• 최초 공격 대상 시스템 또는 서비스의 구체적인 기능
• 최초 침입 경로
• 공격에 이용된 구체적인 취약점
• 인증 또는 접근통제 우회 여부
• 서버나 내부 시스템에 대한 직접 접근 여부
• 악성코드 설치 여부
• 법인 고객 정보를 조회·추출한 구체적인 방법
• 정보주체 기준(중복 제거)의 정확한 피해 법인 수와 개인 수
• 공개된 항목 이외의 추가 정보유출 여부
• 사용된 AI 모델 또는 AI 에이전트
• AI가 공격 과정에서 수행한 구체적인 역할과 자동화 수준
• ARTEX가 웰컴저축은행 침투 과정에서 실제 사용됐는지 여부
• 다른 금융회사 공격과 동일한 공격자가 수행했는지에 대한 최종 조사 결과
• 공격자의 신원·국적·소속
• 유출 정보를 이용한 2차 피해 여부
• 금융감독원 현장점검의 정식 검사 전환 여부와 점검 결과
• 관련 법령 위반 여부와 금융당국의 향후 제재 여부
• 경찰 수사의 구체적인 진행 상황

특히 금융당국이 웰컴저축은행을 포함한 여러 금융회사 침해사고에서 동일 공격자의 IP 정황과 AI를 이용한 자동화 공격 가능성을 확인했다는 사실과, 웰컴저축은행 개별 공격에서 특정 AI 에이전트나 ARTEX가 사용됐다는 것은 구분할 필요가 있다.

또한 2,370건과 2,299건은 유출된 데이터 건수이므로 이를 개인정보가 유출된 사람 수로 표현해서는 안 된다.

같이 보기

• 2026년 금융권 AI 해킹 및 정보유출 사태
• ARTEX
• 개인정보 유출
• 개인정보 보호법 제34조