2026년 금융권 AI 해킹 및 정보유출 사태/피에프씨테크놀로지스

2026년 금융권 AI 해킹 및 정보유출 사태/피에프씨테크놀로지스 문서는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 피에프씨테크놀로지스(PFCT)에서 발생한 사이버 침해 및 개인정보 유출 사고의 경과, 피해 규모, 공격 방식과 대응 등을 다룬다.

피에프씨테크놀로지스(PFCT·옛 피플펀드)는 2026년 9월 27일 오전 3시 30분경 외부의 무단 접근으로 고객 302명의 개인정보가 유출되는 사고를 겪었다. 유출 항목은 고객별로 다르지만 이름·주민등록번호·전화번호 등이 포함됐다.

PFCT는 대출정보는 유출되지 않은 것으로 파악하고 있으며, 공격 직후 실시간 대응을 통해 추가 피해를 차단하고 금융감독원에 사고 사실을 보고했다고 밝혔다.

개요

PFCT는 온라인투자연계금융업을 영위하는 금융회사로, 옛 사명은 피플펀드컴퍼니이다. 2021년 온라인투자연계금융업 및 이용자 보호에 관한 법률에 따라 등록된 국내 최초 온투업체 가운데 하나다.

2026년 9월 27일 오전 3시 30분경 외부의 무단 접근이 발생하면서 고객 302명의 개인정보가 유출됐다.

유출 정보에는 이름, 주민등록번호, 전화번호 등이 포함됐으며 고객별로 실제 유출된 항목에는 차이가 있는 것으로 파악됐다.

PFCT는 대출 관련 정보는 유출되지 않은 것으로 파악하고 있다고 밝혔다.

PFCT는 이상 징후를 인지한 뒤 대응 시스템을 가동해 추가 피해를 차단했으며, 이후 금융감독원에 사고를 보고하고 관계기관의 조사를 받고 있다.

PFCT는 관계기관 조사 결과가 확정되면 피해 고객에 대한 배상 방안을 마련할 계획이라고 밝혔다.

10월 14일 금융위원회가 밝힌 침해사고 발생 금융회사 16곳에는 온라인투자연계금융업권에서 PFCT와 모우다가 포함됐다.

피해 내용

2026년 10월 22일까지 공개된 개인정보 유출 대상은 고객 302명이다.

구분	확인된 내용
피해자	PFCT 고객 302명
이름	일부 고객 유출 확인
주민등록번호	일부 고객 유출 확인
전화번호	일부 고객 유출 확인
대출정보	PFCT 조사 기준 유출되지 않은 것으로 파악

유출 항목은 고객별로 달라 302명의 고객에게 위 개인정보가 모두 동일하게 유출된 것은 아니다.

특히 일부 고객의 주민등록번호가 유출된 것으로 확인돼 단순 연락처 유출보다 개인정보 침해 위험이 큰 사고로 평가할 수 있다.

반면 PFCT는 대출 관련 정보는 유출되지 않은 것으로 파악하고 있다고 밝혔다.

초기 일부 보도에서는 피해 고객이 304명으로 보도되기도 했으나 이후 정정된 기사와 후속 보도에서는 302명으로 전해졌다.

사건 경과

일시	내용
2026년 9월 26일~29일	PFCT가 운영하는 온라인투자연계금융 플랫폼 크플이 9월 26일(토)부터 9월 29일(화) 오전 8시까지 웹·앱 서비스를 제한했다. 크플은 9월 29일 공지에서 그 이유를 'AI를 활용해 지능화되고 있는 보안 위협'에 대응하기 위한 보안 시스템 업그레이드라고 설명했으며, 이 공지에는 개인정보 유출에 관한 언급은 없었다.
9월 27일 03:30경	외부의 무단 접근으로 PFCT 고객 개인정보가 유출됐다. PFCT는 공격을 인지한 뒤 실시간 대응을 통해 추가 피해를 차단했다.
9월 말	PFCT가 금융감독원에 사고 사실을 보고하고 관계기관 조사를 진행했다.
10월 4일	언론 보도를 통해 고객 302명의 이름·주민등록번호·전화번호 등 개인정보가 유출됐다는 구체적인 피해 규모가 알려졌다.
10월 14일	금융위원회가 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사 16곳을 발표했다. PFCT도 여기에 포함됐다.

PFCT가 개인정보 유출 사실을 이용자에게 공지한 날짜와 공지 위치는 10월 22일까지 공개된 자료로 확인되지 않았다.

공격 방식

PFCT에서 공개적으로 확인된 공격 방식은 외부의 무단 접근이다.

PFCT 관계자는 공격이 시도된 직후 대응했으며, 막힌 뒤에도 계속 뚫고 들어오려는 패턴 등을 근거로 AI를 활용한 공격으로 추정된다고 설명했다.

그러나 2026년 10월 22일 현재 공격자가 PFCT 시스템에 처음 접근한 구체적인 기술적 방법은 공개되지 않았다.

특히 다음 사항은 확인되지 않았다.

• 최초 공격 대상 시스템 또는 서비스
• 공격에 이용된 취약점
• 인증 또는 접근통제 우회 여부
• 공격자가 서버에 직접 침입했는지 여부
• 악성코드 설치 여부
• 개인정보가 저장된 시스템까지 접근한 방법
• 개인정보를 조회·추출한 구체적인 방식
• 공격 요청 횟수
• 공격자가 사용한 AI 모델 또는 AI 에이전트

따라서 외부 무단 접근으로 개인정보 유출이 발생했다는 사실과 구체적인 침투 기법은 구분할 필요가 있다.

AI 활용 가능성

PFCT 사고는 같은 시기 은행·저축은행·캐피탈 등 금융권 전반에서 AI를 활용한 것으로 추정되는 공격이 잇따르던 가운데 발생했다.

서울신문은 PFCT 공격 역시 다른 금융회사들과 마찬가지로 AI를 활용한 공격으로 추정된다고 보도했다.

PFCT 측에서도 공격 차단 이후에도 공격 시도가 계속되는 패턴 등을 근거로 AI 공격 가능성을 의심한 것으로 전해졌다.

다만 이는 공격 패턴 등에 근거한 추정이며, PFCT 공격에서 특정 AI 모델이나 AI 에이전트가 실제 사용됐다는 기술적 조사 결과가 공개된 것은 아니다.

따라서 PFCT 사고를 AI 공격으로 확정하기보다는 AI를 활용한 자동화 공격 가능성이 제기된 사고로 보는 것이 적절하다.

ARTEX 관련 여부

신한은행 등 일부 은행권 침해사고 조사에서는 AI 기반 자율 침투테스트 시스템 ARTEX와 관련된 흔적이 공격 인프라에서 확인됐다.

그러나 PFCT 공격에서 ARTEX가 사용됐다는 사실은 2026년 10월 22일 현재 공개적으로 확인되지 않았다.

PFCT와 모우다에 대한 공격이 신한은행 등 최근 금융회사를 겨냥한 연쇄 공격과 동일한 공격자에 의해 수행됐는지도 확인되지 않았다.

따라서 은행권에서 발견된 ARTEX 관련 흔적을 PFCT 사고와 직접 연결할 근거는 현재 공개된 자료에 없다.

PFCT 대응

PFCT는 9월 27일 공격을 인지한 뒤 실시간 대응을 통해 추가 피해를 차단했다고 밝혔다.

이후 금융감독원에 사고 사실을 보고하고 관계기관의 조사를 받고 있다.

PFCT는 현재까지 대출정보는 유출되지 않은 것으로 파악하고 있다고 밝혔다.

또한 관계기관의 조사 결과가 확정되는 대로 피해 고객에 대한 배상 방안을 마련할 계획이라고 밝혔다.

PFCT가 운영하는 크플은 9월 26일부터 29일 오전 8시까지 보안 시스템 업그레이드를 이유로 웹·앱 서비스를 제한했다. 다만 이 조치와 9월 27일 침해사고 대응 사이의 관계는 공지에 명시되지 않았다.

모우다 사고와의 관계

PFCT가 공격받은 9월 27일 다른 온라인투자연계금융업체인 모우다에서도 외부 침입이 발생했다.

모우다는 9월 27일 정오경부터 9월 28일 오전 2시경까지 외부 제3자가 자사 웹사이트에 불법 접근했으며, 이 가운데 9월 27일 오후 9시경부터 28일 오전 2시경 사이에 개인정보가 유출됐을 가능성이 있다고 밝혔다.

모우다에서는 성명·이메일주소·휴대전화번호뿐 아니라 간편대출서비스 신청자의 대출 신청·실행 여부, KCB 신용점수, 연소득, 내부 가심사 신용등급 등의 유출 가능성이 확인됐다.

두 사고가 같은 날 발생했다는 점에서 온투업권을 대상으로 한 동시다발적인 공격 가능성이 제기될 수 있으나, PFCT와 모우다를 동일한 공격자가 공격했다는 사실은 10월 22일 현재 확인되지 않았다.

금융권 연쇄 해킹 사건과의 관계

PFCT 사고는 은행·저축은행·캐피탈 등에서 침해사고가 잇따른 같은 시기에 발생했으며, 2026년 금융권 AI 해킹 및 정보유출 사태가 온라인투자연계금융업권에서도 확인된 사례다.

PFCT 공격은 9월 27일 오전 3시 30분경 발생해 같은 시기 확인된 여러 금융회사 공격보다도 이른 시점에 발생했다.

또한 PFCT와 모우다가 모두 9월 27일 외부 공격을 받은 것으로 확인되면서 금융권 침해사고가 시중은행뿐 아니라 저축은행·캐피탈·온투업체 등 다양한 업권에서 발생한 사실이 확인됐다.

10월 14일 금융위원회는 신한은행 사고 전후로 침해사고가 확인된 금융회사 16곳을 발표하면서 온라인투자연계금융업권에서 PFCT와 모우다를 포함했다. 금융위원회는 이들 사고 사이의 연관성, 동일 공격자 여부, AI 활용 여부를 계속 조사하고 있다고 밝혔다.

다만 PFCT와 모우다에 대한 공격이 신한은행·KB국민은행·하나은행·BNK부산은행 등 은행권 연쇄 공격과 동일한 공격자 또는 동일한 공격 캠페인에 의해 수행됐다는 사실은 확인되지 않았다.

따라서 발생 시기와 AI 자동화 공격 가능성 등 공통점은 존재하지만 기술적인 연관성은 별도로 조사할 필요가 있다.

금융당국 대응

PFCT는 사고 발생 이후 금융감독원에 침해사고를 보고했으며 금융당국의 조사가 진행되고 있다.

10월 4일 금융당국은 은행·저축은행·캐피탈 등에서 발생한 연쇄 침해사고와 관련해 전 금융권 긴급 점검회의를 개최하고 금융회사들에 외부 노출 IT 자산과 서비스, 인증·접근통제 및 취약점 관리 등에 대한 긴급 점검을 요구했다.

이날 금융당국이 침해사고 발생 금융회사로 밝힌 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7개사에는 PFCT가 포함되지 않았다. 그러나 10월 14일 금융위원회가 발표한 침해사고 발생 금융회사 16곳에는 PFCT가 포함됐다.

10월 14일 제2차 긴급 상황대응 회의에서 금융위원회는 금융회사 555곳의 자체 점검 결과 130곳이 일부 보안관리 미흡 사항을 보고했으며, 미흡 사항은 전자금융업과 온라인투자연계금융업에서 상대적으로 많았다고 밝혔다.

금융거래 정보 영향

PFCT는 이번 사고에서 대출정보는 유출되지 않은 것으로 파악하고 있다고 밝혔다.

현재까지 공개적으로 확인된 유출 정보는 이름·주민등록번호·전화번호 등 개인정보이며, 대출금액·대출잔액·상환내역 등 구체적인 대출 관련 정보가 유출됐다는 사실은 확인되지 않았다.

다만 주민등록번호와 연락처 등이 함께 유출된 고객이 있을 수 있어 명의도용이나 금융회사를 사칭한 피싱·스미싱 등 2차 피해 가능성에는 주의가 필요하다.

확인되지 않은 사항

2026년 10월 22일 기준 다음 사항은 공개된 자료만으로 확정할 수 없다.

• 최초 공격 대상 시스템 또는 서비스
• 최초 침입 경로
• 공격에 이용된 구체적인 취약점
• 인증 또는 접근통제 우회 여부
• 서버 또는 내부 시스템에 대한 직접 침입 여부
• 악성코드 설치 여부
• 개인정보를 추출한 구체적인 방식
• 공격 지속시간
• 고객별 정확한 유출 정보 항목
• 공개된 항목 이외의 추가 개인정보 유출 여부
• 이용자 대상 개인정보 유출 공지의 게시일
• 크플 서비스 제한 조치와 침해사고 대응의 관계
• 사용된 AI 모델 또는 AI 에이전트
• AI가 공격 과정에서 수행한 구체적인 역할과 자동화 수준
• ARTEX 사용 여부
• 모우다 공격과 동일한 공격자에 의해 수행됐는지 여부
• 은행·저축은행·캐피탈 연쇄 공격과 동일한 공격자 또는 공격 캠페인인지 여부
• 공격자의 신원·국적·소속
• 유출된 개인정보를 이용한 2차 피해 여부
• 배상 방안의 구체적인 내용
• 금융당국의 최종 조사 결과 및 제재 여부

특히 PFCT 공격에서 AI 활용 가능성이 제기됐다는 사실과 ARTEX가 사용됐다는 것은 별개의 문제다. 현재까지 PFCT 공격에서 ARTEX가 사용됐다는 공개적인 기술적 증거는 확인되지 않았다.

또한 PFCT가 10월 14일 발표된 16개사에 포함됐다는 사실이 PFCT 공격과 은행권 공격 사이의 공격 IP 또는 공격자 연관성이 확인됐다는 의미는 아니다.

같이 보기

• 2026년 금융권 AI 해킹 및 정보유출 사태
• 피에프씨테크놀로지스
• 온라인투자연계금융업
• 모우다
• ARTEX
• 개인정보 유출