2026년 금융권 AI 해킹 및 정보유출 사태/BNK부산은행

이 문서는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태 가운데 BNK부산은행에서 발생한 사이버 침해 및 개인정보 노출 사고의 경과, 피해 규모, 공격 방식과 대응 등을 다룬다.

BNK부산은행에서는 2026년 10월 1일 오후 9시경 외부 웹서버를 대상으로 인공지능(AI) 에이전트를 활용한 것으로 설명된 공격이 발생했으며, 후속 점검에서 외주 개발직원 11명의 개인정보가 외부에 노출된 사실이 확인됐다.

개요

BNK부산은행은 2026년 10월 1일 오후 9시경 AI 에이전트를 활용한 외부의 웹서버 공격 시도가 발생했다고 밝혔다. 은행에 따르면 주요 공격은 차단됐지만 이후 자체 점검 과정에서 일부 웹페이지의 세션 검증이 충분하지 않았던 사실이 확인됐으며, 해당 페이지를 통해 외주 개발직원 11명의 개인정보가 표시된 정황이 발견됐다.

뉴시스 역시 부산은행 설명을 인용해 10월 1일 오후 9시경 AI 에이전트를 활용한 외부 웹서버 공격이 있었고, 주요 공격은 차단됐으나 후속 점검 과정에서 외주 개발직원 11명의 개인정보 노출이 확인됐다고 보도했다.

부산은행은 10월 2일 오전 4시 30분경 외주 개발직원 11명의 개인정보가 웹페이지에 노출된 사실을 확인했다고 별도로 설명했다. 초기 보도에서는 노출 항목으로 성명, 전화번호, 생년월일, 이메일주소 등이 제시됐다.

따라서 공격이 시작된 것으로 은행이 밝힌 시점은 10월 1일 오후 9시경, 개인정보 노출을 확인한 시점은 10월 2일 오전 4시 30분경으로 구분된다.

후속 금융보안원 조사에서는 KB국민은행·신한은행·하나은행·BNK부산은행을 대상으로 한 공격에서 동일한 공격 IP가 확인됐다. 또한 이들 은행의 공격 관련 웹서버에서 AI 기반 자율 침투테스트 시스템 ARTEX와 관련된 동일한 문자열이 발견된 것으로 전해졌다.

부산은행이 국회에 제출한 자료에 따르면 은행은 금융감독원이 제시한 12개 긴급 점검항목 가운데 대외시스템 대상 인증·인가 검증 기능 누락 여부 및 접근제어 취약점 확인·검증 1개 항목을 미흡으로 자체 평가했다.

사건 경과

일시	내용
2026년 10월 1일 21:00경	BNK부산은행에 따르면 AI 에이전트를 활용한 외부의 웹서버 공격 시도가 발생했다. 주요 공격은 차단됐다고 은행은 설명했다.
10월 1일 밤~10월 2일 새벽	부산은행이 후속 보안점검을 진행하는 과정에서 일부 웹페이지의 세션 검증이 충분하지 않은 상태였던 사실을 확인했다.
10월 2일 04:30경	외주 개발직원 11명의 개인정보가 웹페이지에 노출된 사실을 확인했다.
10월 2일	개인정보가 표시된 웹페이지의 외부 접근을 차단하고 금융당국에 사고 사실을 신고했다. 추가 이상 징후 확인을 위한 시스템 모니터링도 강화했다.
10월 2일 15:00	금융위원회가 금융감독원·금융보안원·은행·카드사 및 관련 협회와 금융권 긴급 상황대응 회의를 개최했다.
10월 2일	경찰청 사이버테러대응수사대가 부산은행을 포함해 정보유출 피해가 확인된 은행권 사고에 대해 입건 전 조사에 착수했다.
10월 3일~4일	금융보안원 조사에서 KB국민은행·신한은행·하나은행·BNK부산은행 공격에 동일한 공격 IP가 사용된 것으로 파악됐다. 공격 관련 인프라에서는 ARTEX 관련 흔적도 확인됐다.
10월 4일	금융당국이 전 금융권 긴급 점검회의를 개최하고 공격 IP와 취약점 관련 정보를 금융권에 공유하는 한편 외부 노출 IT 자산과 서비스에 대한 전면적인 점검을 요구했다.
10월 6일	경찰청 국가수사본부가 금융권 연쇄 해킹 사건에 대한 입건 전 조사를 정식 수사로 전환하고 정보통신망법 위반 혐의로 입건했다. 경찰청 사이버테러수사대를 전담수사팀으로 지정해 4개 팀 28명을 투입했다.
10월 7일	부산은행이 국회에 제출한 자체 점검 결과와 후속 계획이 보도됐다. 12개 긴급 점검항목 가운데 인증·인가 검증과 접근제어 관련 1개 항목을 미흡으로 평가했다.
10월 14일	금융위원회가 제2차 긴급 상황대응 회의에서 신한은행 사고 전후로 16개 금융회사에서 침해사고가 확인됐고 약 10만 건의 개인정보 유출이 파악됐다고 발표했다. BNK부산은행도 16개사에 포함됐다.

정보 노출 규모

2026년 10월 22일 기준 확인된 개인정보 노출 대상은 부산은행 고객이 아니라 외주 개발직원 11명이다.

구분	확인된 내용
정보주체	부산은행 관련 외주 개발직원
인원	11명
성명	노출 확인
전화번호	노출 확인
생년월일	초기 보도에서 노출 항목으로 확인
이메일주소	초기 보도에서 노출 항목으로 확인
고객 개인정보	공개된 자료에서는 고객정보 유출이 확인되지 않음

후속 보도에서는 부산은행이 노출 정보를 성명과 전화번호 등으로 설명하기도 했다. 초기 보도에서는 성명·전화번호·생년월일·이메일주소가 구체적으로 제시됐으므로, 정확한 최종 노출 항목은 금융당국 및 부산은행의 추가 조사 결과를 확인할 필요가 있다.

공격 대상

부산은행이 후속으로 공개한 설명에 따르면 외부 웹서버에 대한 공격 시도가 있었으며, 자체 점검 과정에서 일부 웹페이지의 세션 검증이 충분하지 않았던 사실이 확인됐다.

초기 보도에서는 내부 직원용 모바일 영업지원시스템 등을 대상으로 한 해킹 공격 과정에서 개인정보가 유출된 것으로 추정된다는 설명도 전해졌다.

이에 따라 공개된 자료에서 공격 및 정보 노출과 관련된 것으로 언급된 시스템은 다음과 같다.

• 외부에 공개된 부산은행 웹서버
• 세션 검증이 충분하지 않았던 일부 업무 관련 웹페이지
• 초기 보도에서 공격 대상으로 언급된 내부 직원용 모바일 영업지원시스템

다만 모바일 영업지원시스템과 개인정보가 표시된 웹페이지가 기술적으로 어떤 관계에 있었는지, 최초 공격 대상과 실제 개인정보 노출 경로가 동일한 시스템이었는지는 공개된 자료만으로 확인되지 않았다.

세션 검증 문제

부산은행은 후속 자체 점검에서 일부 웹페이지의 세션 검증이 충분하지 않았던 사실을 확인했다고 밝혔다.

웹 애플리케이션에서 세션은 로그인 또는 인증이 완료된 사용자의 상태를 식별하고 유지하는 데 사용된다. 세션 검증이 적절하지 않을 경우 요청을 보낸 사용자가 해당 정보에 접근할 권한이 있는지를 충분히 확인하지 못하는 문제가 발생할 수 있다.

다만 부산은행 사고에서 구체적으로 어떤 세션 취약점이 존재했는지, 공격자가 세션 토큰을 위조·탈취했는지, 인증 자체를 우회했는지 등에 대해서는 2026년 10월 22일 기준 공개되지 않았다.

따라서 공개된 사실은 일부 웹페이지의 세션 검증이 충분하지 않았다는 부산은행의 자체 점검 결과까지이며, 이를 세션 고정(Session Fixation), 세션 탈취(Session Hijacking) 등 특정한 취약점으로 단정할 근거는 아직 없다.

부산은행은 국회 제출자료에서 금융감독원의 12개 긴급 점검항목 가운데 대외시스템 대상 인증·인가 검증 기능 누락 여부 및 접근제어 취약점 확인·검증 항목을 미흡으로 자체 평가했다. 다만 이 항목의 미흡이 개인정보 노출의 직접적인 원인이었는지는 공개된 자료만으로 확인되지 않았다.

AI 에이전트 및 ARTEX 관련 정황

부산은행은 이번 사건에 대해 AI 에이전트를 활용한 외부의 웹서버 공격 시도가 발생했다고 설명했다.

초기에는 부산은행이 어떤 근거로 AI 에이전트가 사용됐다고 판단했는지, 구체적으로 어떤 AI 도구가 사용됐는지는 공개되지 않았다.

이후 금융보안원 조사에서는 KB국민은행·신한은행·하나은행·BNK부산은행에 대한 공격에서 동일한 공격 IP가 확인됐다. 또한 이들 은행의 공격 관련 웹서버에서 중국어로 '자율 침투테스트 콘솔'을 뜻하는 다음과 같은 ARTEX 관련 문자열이 발견된 것으로 전해졌다.

ARTEX — 自主渗透测试控制台

금융당국은 여러 금융회사에서 동일하거나 연관된 공격 IP가 발견되고 공격자가 IP를 변경하면서 공격을 지속한 점 등을 근거로, AI 도구를 이용해 다수 금융회사를 대상으로 대량·자동화된 공격을 수행했을 가능성이 있다고 보고 있다.

다만 ARTEX 관련 흔적이 확인됐다는 사실과 ARTEX의 AI 에이전트가 부산은행 공격을 직접 수행했다는 것은 구분할 필요가 있다. 2026년 10월 22일 기준 공개된 조사 결과만으로는 부산은행 공격 과정에서 ARTEX가 어느 단계에서 어떤 기능을 수행했는지까지 확인되지 않았다.

따라서 다음 사항은 여전히 확인되지 않았다.

• 사용된 구체적인 AI 모델
• ARTEX의 AI 에이전트가 부산은행 공격에 직접 사용됐는지 여부
• AI가 직접 수행한 공격 단계
• 취약점 탐색이 AI에 의해 자동화됐는지 여부
• 세션 검증 문제의 발견 또는 악용에 AI가 관여했는지 여부
• 공격 요청 생성 또는 취약점 악용에서 AI가 담당한 구체적인 역할

ARTEX는 공개된 오픈소스 소프트웨어이고 공격 IP도 여러 국가나 서버를 경유할 수 있으므로, ARTEX 관련 흔적이나 중국어 인터페이스만으로 공격자의 국적이나 조직을 특정할 수 없다.

고객정보 유출 여부

이번 사고에서 확인된 개인정보 노출 대상은 외주 개발직원 11명으로, 10월 22일 기준 공개된 자료에서 부산은행 고객의 개인정보 유출은 확인되지 않았다.

부산일보는 부산은행에서 AI 에이전트를 활용한 외부 공격이 발생했으나 주요 공격을 차단해 고객정보 유출은 발생하지 않았다고 보도했다.

따라서 신한은행·KB국민은행·하나은행 사고와 달리, 부산은행 사고는 현재까지 알려진 범위에서는 고객정보가 아닌 외주 개발인력의 개인정보가 노출된 사건이라는 차이가 있다.

다만 은행이 추가 이상 징후와 피해 여부를 계속 확인하고 있다고 밝혔기 때문에 최종 피해 범위는 후속 조사에 따라 달라질 수 있다.

부산은행 대응

부산은행은 개인정보 노출 정황을 확인한 뒤 관련 웹페이지를 즉시 차단해 외부에서 접근할 수 없도록 조치했다.

은행이 밝힌 대응은 다음과 같다.

• 개인정보가 표시된 웹페이지 외부 접근 차단
• 금융당국에 사고 신고
• 관련 시스템에 대한 추가 이상 징후 모니터링
• AI 기반 공격에 대한 감시 강화
• 외부에 공개된 웹페이지 전반에 대한 추가 보안점검
• 공격 표면 관리(Attack Surface Management, ASM) 방식의 점검 추진

부산은행은 향후 외부에 공개된 웹페이지 전반을 대상으로 공격표면관리 방식의 추가 점검을 시행하겠다고 밝혔다.

공격표면관리는 인터넷에 노출된 서버·서비스·웹페이지 등 조직의 외부 IT 자산을 지속적으로 식별하고 보안 취약점을 관리하는 방식이다.

부산은행은 국회 제출자료에서 그동안 구글 위협정보(Google Threat Intelligence)의 공격표면관리 기능을 이용해 외부에 노출된 시스템을 매일 모니터링해 왔다고 설명했다. 다만 이 도구만으로는 로그인 없이 일반 이용자가 접근할 수 있는 페이지인지를 판단하기 어렵다고 밝혔다.

같은 자료에서 부산은행이 밝힌 후속 계획은 다음과 같다.

• 로그인 없이 접근할 수 있는 외부 웹페이지를 전면 재조사해 10월 중 차단하고 보안 코딩 등을 진행
• 보안 취약점을 자동으로 점검하는 AI 에이전트를 개발해 12월에 적용
• 외부 업체와 금융보안원의 상시 관제를 이용해 왔으나 24시간 상주 관제가 아니었던 점을 고려해 24시간 365일 상주 보안 관제 도입 검토

금융당국 대응

부산은행 사고는 신한은행, KB국민은행, 하나은행 등에서 잇따라 정보유출 사고가 발생하는 과정에서 확인됐다.

금융위원회는 10월 2일 신진창 사무처장 주재로 금융감독원, 금융보안원, 주요 은행 6개사, 카드사 3개사, 은행연합회 및 여신금융협회 등이 참여한 금융권 긴급 상황대응 회의를 개최했다.

금융당국은 금융회사에 다음 사항을 요구했다.

• 외부에서 접근 가능한 IT 자산 및 서비스 전수 파악
• 외부 노출 전산시스템의 취약점 점검
• 접근통제 상태 점검
• 인증 없이 내부정보에 접근할 수 있는 경로 확인
• 개인정보 조회 과정에서 인증 절차가 누락되거나 미흡한 부분 확인
• 외부에 불필요하게 노출된 정보 최소화
• 공격 IP 주소·공격수법·침해시도 내역 등 위협정보 신속 공유
• 자체 보안점검 결과를 금융당국에 제출

10월 4일 금융당국은 전 금융권 긴급 점검회의를 다시 개최하고 금융회사들이 보유한 모든 전산 자원의 외부 접점을 재점검하도록 했다. 영업상 외부 접속이 필요하지 않은 시스템은 원칙적으로 외부 접속을 차단하도록 요구했다.

금융당국은 공격에 이용된 것으로 파악된 IP들을 금융권에 공유하고 있으며, 금융회사들이 해당 IP의 과거 접속 이력과 추가 침해 여부를 확인하도록 했다.

10월 14일 금융위원회는 제2차 긴급 상황대응 회의에서 신한은행 사고 전후로 침해사고가 확인된 금융회사가 16개사, 파악된 개인정보 유출 규모가 약 10만 건이라고 밝혔다. 금융회사 555곳의 긴급 점검에서는 130곳이 일부 보안관리 미흡 사항을 보고했다. 금융위원회는 외부 접점과 인증·인가 관리를 강화하고 CEO·CISO·CIO의 보안관리 책임과 보고 체계를 명확히 하는 제도 개선을 추진하겠다고 밝혔다.

국정감사

10월 19일 국회 정무위원회의 금융감독원 국정감사에는 KB국민·신한·하나·우리·NH농협은행 등 5대 시중은행장이 증인으로 출석했으며, BNK부산은행장은 증인에 포함되지 않았다.

경찰 조사

경찰청 사이버테러대응수사대는 10월 2일 부산은행을 포함한 은행권 정보유출 사고에 대해 입건 전 조사에 착수했다.

당시 경찰의 조사 대상에는 다음 4개 은행이 포함됐다.

• 신한은행
• KB국민은행
• 하나은행
• BNK부산은행

10월 6일 경찰청 국가수사본부는 금융권 연쇄 해킹 사건을 정보통신망법 위반 혐의로 입건하고 정식 수사로 전환했다. 경찰청 사이버테러수사대를 전담수사팀으로 지정해 4개 팀 28명을 투입했으며, 피해 금융회사의 업무지원시스템이 전자금융거래법상 전자금융기반시설에 해당하는지 금융위원회에 유권해석을 요청했다.

경찰은 10월 7일 디지털포렌식과 국제공조 지원 인력 15명을 추가해 전담수사팀을 43명으로 확대했으며, 피해 시스템 분석과 공격 서버 차단을 위한 국제공조 수사를 병행하고 있다고 10월 9일 밝혔다.

후속 조사에서는 이들 4개 은행에 대한 공격에서 동일한 공격 IP가 확인됐지만, 동일 IP가 사용됐다는 사실만으로 동일한 공격자 또는 공격 조직의 소행이라고 단정할 수는 없다.

다른 은행 사고와의 관계

2026년 10월 22일까지 확인된 주요 은행별 피해는 다음과 같다.

금융회사	확인된 정보유출
신한은행	고객 25,729명
KB국민은행	고객 99명·임직원 20명 등 총 119명
하나은행	고객 89명
BNK부산은행	외주 개발직원 11명

신한은행·KB국민은행·하나은행에서는 고객정보 유출이 확인된 반면 부산은행에서는 외주 개발인력의 개인정보 노출만 확인됐다는 차이가 있다.

초기에는 각 은행 사고 사이의 연관성이 확인되지 않았지만, 후속 금융보안원 조사에서는 KB국민은행·신한은행·하나은행·BNK부산은행을 공격한 IP가 동일한 것으로 파악됐다.

또한 이들 은행의 공격 관련 웹서버에서는 ARTEX 관련 동일 문자열이 발견된 것으로 전해졌다.

따라서 초기 조사 단계보다 네 은행에 대한 공격 사이의 기술적 연관성은 강하게 확인된 상태다. 다만 금융당국은 동일한 IP가 사용됐다는 사실만으로 동일인이 공격했다고 단정하지 않고 있으며, 공격자의 신원과 공격 조직은 계속 조사하고 있다.

10월 14일 금융위원회가 밝힌 16개 침해 금융회사에는 은행 4곳 외에 저축은행·여신전문금융회사·온라인투자연계금융업자·전자금융업자·가상자산사업자·상호금융이 포함됐다. 다만 16개사 모두가 같은 공격자나 같은 도구에 의해 공격받았다는 의미는 아니다.

확인되지 않은 사항

2026년 10월 22일 기준 다음 사항은 공개된 자료만으로 확정할 수 없다.

• 공격자의 최초 접근 방법
• 최초 공격 대상 시스템의 정확한 구성
• 세션 검증 문제의 구체적인 기술적 원인
• 자체 점검에서 미흡으로 평가된 인증·인가 검증 항목과 개인정보 노출 사이의 직접적인 관계
• 공격자가 개인정보에 접근한 정확한 방법
• ARTEX의 AI 에이전트가 부산은행 공격에 직접 사용됐는지 여부
• AI가 수행한 공격 단계와 자동화 수준
• 공격자의 신원·국적·소속
• 신한은행·KB국민은행·하나은행 사건과 동일한 공격자 또는 공격 조직의 소행인지 여부
• 고객정보의 추가 유출 여부
• 외주 개발직원 11명의 최종 개인정보 유출 항목
• 관련 법규 위반 여부와 금융당국의 향후 조치

금융당국과 경찰의 조사 및 부산은행의 추가 보안점검에 따라 공격 방식과 피해 범위는 향후 구체화될 수 있다.

같이 보기

• 2026년 금융권 AI 해킹 및 정보유출 사태
• ARTEX
• 개인정보 보호법 제34조
• 공격 표면 관리