2026년 금융권 AI 해킹 및 정보유출 사태/DB저축은행
더 많은 작업
2026년 금융권 AI 해킹 및 정보유출 사태/DB저축은행은 2026년 10월 DB저축은행의 인터넷뱅킹 및 모바일웹 관련 시스템에서 비정상적인 접근과 대출 한도조회 시도가 발생하고, 임직원·외주인력 등 142명의 개인정보가 유출된 것으로 추정된 사건이다.
2026년 10월 10일 DB저축은행의 인터넷뱅킹 및 모바일웹 업무시스템에서 비정상적인 접근이 발생했다. 이후 조사에서 퇴직자를 포함한 임직원 122명과 디지털채널 고도화 프로젝트 외주인력 20명 등 총 142명의 개인정보가 유출됐을 가능성이 확인됐다.[1]
국회 정무위원회 신동욱 의원실이 금융감독원으로부터 제출받은 DB저축은행의 사고·장애 전산시스템 보고 내역에 따르면, 사고 발생 시각은 10월 10일 오후 12시 28분이며 DB저축은행은 같은 날 오후 6시에 사고를 인지했다. 금융감독원에는 이튿날인 10월 11일 오후 3시 5분 사고를 보고했다.[1]
이번 사건에서는 유출된 것으로 추정되는 개인정보를 이용해 정보주체가 직접 신청하지 않은 대출 가한도 조회까지 시도된 사실이 확인됐다. 다만 DB저축은행은 이러한 접근을 차단했으며 실제 대출 실행이나 금전 피해는 발생하지 않았다고 설명했다.[1]
10월 16일 조선비즈는 중국 소재로 분류된 IP 주소를 통해 DB저축은행의 직원 및 협력업체 직원 100여 명 명의로 대출을 시도한 정황이 확인됐다고 보도했다. DB저축은행은 대출 한도조회 단계에서 거래를 차단하고 관련 기능을 일시 중단한 것으로 전해졌다.[2]
이번 사고는 2026년 9월 말부터 발생한 2026년 금융권 AI 해킹 및 정보유출 사태와 함께 조사된 금융권 침해사고 중 하나다. 금융위원회는 10월 14일 DB저축은행을 포함한 16개 금융회사에서 침해사고가 확인됐다고 발표했으나, 각 사건의 동일 공격자 여부와 AI 도구 사용 여부는 조사 중이라고 밝혔다.[3]
2026년 10월 16일 공개된 사고보고서에 따르면 개인정보 유출 추정 인원은 총 142명이다. 유출 대상은 일반 금융상품 이용 고객이 아니라 DB저축은행의 임직원과 프로젝트 외주인력이다.[1]
| 구분 | 인원 | 비율 | 비고 |
|---|---|---|---|
| 임직원 | 122명 | 약 85.9% | 퇴직자 포함 |
| 프로젝트 외주인력 | 20명 | 약 14.1% | 디지털채널 고도화 프로젝트 참여 인력 |
| 합계 | 142명 | 100% | 유출 추정 인원 |
DB저축은행은 일반 고객의 개인정보가 유출되지는 않았다고 설명했다. 따라서 이번 사건에서 언급되는 142명은 고객 142명의 개인정보가 유출됐다는 의미가 아니다.[1]
다만 142명은 금융감독원에 보고된 유출 추정 인원으로, 개인정보가 실제로 외부에 반출된 경로와 시점, 각 정보주체별 유출 항목 및 최종 피해 규모가 모두 확정됐다는 의미는 아니다.
국회에 제출된 사고보고서에는 다음 네 가지 개인정보가 유출된 것으로 추정된다고 기재됐다.[1]
| 개인정보 항목 | 유출 여부 | 비고 |
|---|---|---|
| 인터넷뱅킹 사용자 ID | 유출 추정 | 인터넷뱅킹 이용자를 식별하는 계정 정보 |
| 성명 | 유출 추정 | 정보주체의 이름 |
| 주민등록번호 | 유출 추정 | 고유식별정보 |
| 휴대전화번호 | 유출 추정 | 연락처 |
공개된 보고 내역에는 계정 비밀번호, 인증서 개인키, OTP 비밀값, 계좌 비밀번호 등의 유출이 확인됐다는 내용은 없다.
다만 이러한 정보가 보고된 유출 항목에 포함되지 않았다는 사실만으로 모든 관련 시스템의 인증정보가 안전하다는 결론을 내릴 수는 없다.
특히 사용자 ID·성명·주민등록번호·휴대전화번호는 본인확인이나 금융거래 관련 절차에서 함께 사용될 수 있는 정보다. 이러한 정보가 결합될 경우 명의도용이나 금융회사 사칭 등 2차 피해에 악용될 가능성이 있다.
DB저축은행은 유출된 것으로 추정되는 정보를 이용해 대출 가한도를 조회하는 비정상적인 시도가 있었으나, 회사의 거래 차단 정책에 따라 실제 대출 실행으로 이어지지는 않았다고 설명했다.[1]
2026년 10월 16일 기준 회사가 확인한 직접적인 금전 피해는 없었다.
여기에서 대출 가한도 조회 시도와 대출 실행은 구분해야 한다. 가한도 조회는 대출 가능 여부나 한도를 확인하는 단계이며, 해당 과정이 실행됐다는 사실만으로 대출 계약이 성립하거나 대출금이 지급됐다고 볼 수 없다.
DB저축은행이 금융감독원에 제출한 사고보고서에는 이번 사고의 대상 시스템이 인터넷뱅킹 및 모바일웹 업무시스템으로 기재됐다.[1]
10월 16일 조선비즈는 모바일 앱을 통해 DB저축은행 임직원과 협력업체 직원 명의의 대출 시도가 발생했으며, 이 과정에서 일부 직원이 본인의 의사와 관계없는 한도조회 사실을 확인했다고 보도했다.[2]
공개 자료에서는 해당 대출 관련 기능이 DB저축은행과 협력업체 직원의 편리한 대출 신청을 지원하는 용도로 제공된 것으로 설명됐다.
다만 다음 사항은 공개되지 않았다.
- 실제 공격 대상 URL 또는 API 엔드포인트
- 공격자의 로그인 여부와 인증 방식
- 직원 명의 대출 신청에 사용된 개인정보의 제출 방식
- 세션·인증·인가 검증상의 구체적인 결함
- 개인정보가 저장된 서버 또는 데이터베이스의 침해 여부
- 외부에서 접근 가능한 시스템과 내부 업무시스템 사이의 실제 연결 구조
따라서 이번 사건을 특정 웹 취약점이나 API 보안 취약점의 악용 사례로 단정할 수는 없다.
DB저축은행은 2024년 11월 이후 진행된 디지털채널 고도화 프로젝트 수행 과정에서 프로젝트 외주인력을 통해 개인정보 일부가 유출됐을 가능성이 있다고 금융감독원에 보고했다.[1]
이는 이번 사고에서 단순한 외부 해킹뿐 아니라 시스템 구축·개편 과정에 참여한 외주인력의 개인정보 접근 및 관리 문제가 함께 조사되고 있음을 보여준다.
그러나 공개된 자료만으로는 외주인력이 어떤 경로로 개인정보 유출에 관여했는지 확인되지 않았다.
특히 외주인력이 개인정보를 고의로 반출했는지, 프로젝트 수행 중 관리가 미흡했던 자료에 외부인이 접근했는지, 별도의 계정 또는 시스템이 침해됐는지 등은 확정되지 않았다.
따라서 외주인력이 개인정보를 고의로 유출한 것으로 확인됐다고 서술해서는 안 된다.
프로젝트 수행 기간이 2024년 11월 이후라는 사실 역시 개인정보가 해당 시점부터 지속적으로 유출됐다는 의미는 아니다.
조선비즈의 10월 16일 보도에 따르면 중국 소재로 분류된 미상의 IP 주소가 DB저축은행의 모바일 앱을 통해 직원 및 협력업체 직원 100여 명의 명의로 대출을 시도했다.[2]
DB저축은행은 이러한 대출 시도를 한도조회 단계에서 차단했으며, 이후 해당 기능을 일시적으로 중단했다.
이때 보도에 등장한 100여 명의 대출 시도 대상과 사고보고서의 142명 유출 추정 인원은 구분해야 한다. 두 수치가 동일한 대상을 가리키거나 모든 유출 추정 대상자에게 대출 시도가 있었다는 사실은 확인되지 않았다.
또한 중국에 할당된 IP 주소가 사용됐다고 해서 실제 공격자가 중국 국적이거나 중국에서 직접 접속했다고 단정할 수는 없다. 공격자는 해외 서버, 프록시 또는 다른 우회 인프라를 이용할 수 있기 때문이다.
뉴스1이 인용한 사고보고서에서는 유출된 것으로 추정되는 개인정보를 이용해 대출 가한도 조회가 시도됐다고 설명했다.[1]
그러나 실제 개인정보 유출 경위와 대출 시도에 사용된 정보의 출처가 포렌식 조사로 모두 확정된 것은 아니다.
조선비즈는 같은 날 별도 취재를 통해 대출 시도 자체를 확인하면서도, 당시 DB저축은행 임직원과 협력업체 직원의 개인정보가 외부로 유출된 정황은 파악되지 않았다는 내용을 보도했다.[2]
따라서 공개 자료를 종합하면 다음과 같이 구분할 수 있다.
| 조사 항목 | 공개적으로 확인된 내용 |
|---|---|
| 비정상적인 대출 한도조회 시도 | 확인 |
| 임직원·외주인력 142명 개인정보 유출 | 금융감독원 사고보고서상 유출 추정 |
| 실제 대출 실행 | 회사 발표에 따르면 차단 |
| 실제 금전 피해 | 10월 16일 기준 확인되지 않음 |
| 개인정보의 최초 유출 경로 | 디지털채널 고도화 프로젝트 관련 가능성 조사 중 |
| 외주인력의 고의적 유출 | 확인되지 않음 |
| 공격자의 신원 및 소속 | 확인되지 않음 |
2026년 10월 16일 공개된 금융감독원 사고보고서와 금융권 관련 보도에 따르면 사건 경과는 다음과 같다.[1][2]
| 일시 | 경과 |
|---|---|
| 2024년 11월 이후 | DB저축은행이 디지털채널 고도화 프로젝트를 진행. 이후 회사는 프로젝트 외주인력을 통한 개인정보 일부 유출 가능성을 사고 원인으로 보고함. |
| 2026년 10월 10일 12:28 | 인터넷뱅킹 및 모바일웹 업무시스템에서 사고 발생. 금융감독원 제출 보고서에 기재된 사고 발생 시각. |
| 10월 10일 18:00 | DB저축은행이 사고 인지. 사고 발생 시각으로부터 약 5시간 32분 경과. |
| 10월 11일 15:05 | DB저축은행이 금융감독원에 사고 보고. 사고 인지 후 약 21시간 5분 경과. |
| 10월 14일 | 금융위원회가 DB저축은행을 포함한 금융회사 16곳에서 침해사고가 확인됐다고 발표. |
| 10월 14일 | 조선비즈 후속 취재에 따르면 중국 소재 IP를 통한 직원 명의 대출 시도 정황이 금융감독원에 보고된 것으로 파악됨. |
| 10월 16일 | 조선비즈가 DB저축은행 직원 및 협력업체 직원 100여 명 명의의 대출 시도 정황을 보도. 실제 대출 실행은 차단된 것으로 확인. |
| 10월 16일 | 뉴스1이 국회 제출 사고보고서를 인용해 임직원 122명과 외주인력 20명 등 총 142명의 개인정보 유출 추정 사실, 유출 항목 4종 및 사고 시각을 공개. |
| 10월 19일 | 금융권 1·2차 공격 IP 비교 분석 결과 공개. 직접 중복되는 IP는 확인되지 않았으나 유사한 주소 대역과 공격 수법이 발견된 것으로 보도됨. |
10월 19일 공격 IP 비교 분석에 관한 내용은 뉴스1의 별도 보도에 따른 것이다.[4]
금융감독원 제출 보고서의 시각을 기준으로 계산하면 다음과 같다.
| 구분 | 시각 | 경과 시간 |
|---|---|---|
| 사고 발생 | 10월 10일 12:28 | 기준 |
| 사고 인지 | 10월 10일 18:00 | 5시간 32분 |
| 금융감독원 보고 | 10월 11일 15:05 | 사고 인지 후 21시간 5분 |
| 사고 발생부터 감독당국 보고까지 | - | 26시간 37분 |
여기서 사고 발생 시각은 보고서에 기재된 시각이다. 실제 공격자가 처음 시스템을 탐색하거나 개인정보를 확보하기 시작한 시점이 반드시 이와 일치하는 것은 아니다.
또한 개인정보 유출 추정 시점과 대출 한도조회 시도의 개별 발생 시각은 별도로 공개되지 않았다.
DB저축은행은 홈페이지에 게시한 「당행 해킹 시도에 따른 대고객 안내」에서 최근 AI를 활용한 금융권 해킹 시도가 자사를 포함해 이어지고 있다며 이용자의 주의를 당부한 것으로 보도됐다.[1]
그러나 이러한 안내는 금융권 전반의 공격 양상에 관한 설명으로, DB저축은행의 이번 사건에서 특정 AI 에이전트가 실행됐다는 직접적인 기술적 증거는 아니다.
실제 공개된 사고보고서에서 확인되는 구체적인 공격 행위는 인터넷뱅킹·모바일웹 관련 시스템에 대한 비정상 접근과 직원 명의의 대출 가한도 조회 시도다.
이러한 활동은 AI 에이전트뿐 아니라 일반적인 자동화 도구 또는 사람이 직접 실행하는 프로그램을 통해서도 수행될 수 있다.
따라서 현재 공개된 사실만으로 DB저축은행에 대한 공격이 완전히 자율적인 AI 해킹이었다고 판단할 수는 없다.
2026년 10월 19일 뉴스1은 9월 말~10월 초의 1차 금융권 공격과 10월 중순의 2차 공격에서 공유된 IP 주소를 비교한 결과를 보도했다.[4]
보도에 따르면 1차 공격 관련 공유 IP는 32개, 2차 공격 관련 IP는 26개였으며 직접 일치하는 IP는 발견되지 않았다.
다만 일부 IP는 주소 대역이 상당히 유사했고, 금융회사 대출 관련 서비스를 이용한 공격이 반복됐다는 점에서 동일 공격자 가능성을 배제할 수 없다는 분석이 나왔다.
1차 공격에서는 신한은행의 대출 관련 조회서비스가 공격받았으며, 2차 공격에서는 OK저축은행의 대출신청 웹페이지와 DB저축은행의 대출 가한도 조회 기능이 공격 대상에 포함됐다.
그러나 공격 대상 서비스가 유사하거나 IP 대역이 비슷하다는 사실만으로 동일한 공격자·공격 조직·AI 도구가 사용됐다고 확정할 수는 없다.
또한 공개된 1·2차 공격 IP 비교 결과는 금융권 전체의 위협정보를 대상으로 한 것으로, DB저축은행을 공격한 개별 IP의 전체 목록이나 각 IP의 역할을 확정하는 자료는 아니다.
DB저축은행은 개인정보 유출이 의심되는 임직원과 외주인력 등 관련 대상자에게 스팸·사칭 이메일 및 기타 2차 피해 가능성에 주의하도록 문자메시지를 발송했다.[1]
또한 홈페이지에 해킹 시도에 관한 대고객 안내문을 게시했다.
DB저축은행은 일반 고객의 개인정보 유출은 없다고 밝히면서, 해킹 시도에 이용된 소수 관련인에게 관련 내용을 안내했다고 설명했다.
이는 사고보고서에서 임직원과 외주인력 142명의 개인정보 유출 가능성이 제기된 사실과 반드시 모순되는 것은 아니다. 회사가 일반 고객정보와 내부 인력의 개인정보를 구분해 설명했을 가능성이 있기 때문이다.
다만 10월 16일 보도에서는 내부 인력의 정보 유출 정황 자체에 대해서도 보도별 차이가 있으므로, 실제 유출 여부에 관한 최종 조사 결과는 별도로 확인할 필요가 있다.
DB저축은행은 2026년 10월 11일 오후 3시 5분 금융감독원에 사고를 보고했다.[1]
10월 16일 국회에 제출된 사고보고서 내용이 공개되면서 개인정보 유출 추정 인원과 사고 발생·인지·보고 시각, 대출 가한도 조회 시도 등 구체적인 사실관계가 알려졌다.
조선비즈에 따르면 DB저축은행은 관할 경찰서와 협력해 미상의 IP 주소가 직원 명의로 대출을 시도할 수 있었던 원인을 조사하고 있다.[2]
다만 공개된 자료에서는 수사기관이 특정 공격자를 입건·검거했거나 외주인력의 고의적인 정보 유출을 확인했다는 사실은 발표되지 않았다.
또한 금융감독원이 DB저축은행을 대상으로 별도의 정식 현장검사에 착수했는지, 검사 결과 제재 또는 행정조치가 확정됐는지는 확인되지 않았다.
2026년 10월 14일 금융위원회는 제2차 긴급 상황대응 회의를 개최하고 총 16개 금융회사에서 침해사고가 확인됐다고 밝혔다.[3]
당시 침해사고가 확인된 저축은행은 다음 4곳이었다.
금융위원회는 금융회사 전체에서 약 10만 건의 정보유출이 파악됐으며, 각 사고의 구체적인 공격 경로와 AI 사용 여부, 동일 공격자 가능성 등에 대한 조사를 진행하고 있다고 설명했다.
또한 금융회사 555곳에 대한 긴급 자체점검에서 130곳이 일부 보안관리 미흡 사항을 보고했다고 발표했다.
금융위원회는 외부 노출 IT 자산 식별, 취약점 점검 강화, 인증·접근통제 보완, 위협정보 공유 및 보안관제 강화 등을 추진하기로 했다.
다만 130개사의 보안관리 미흡 사항이 모두 실제 침해사고를 의미하는 것은 아니며, 해당 점검 결과에서 DB저축은행의 특정 위반 사항이 확정됐다는 발표도 아니다.
이번 사건은 일반 고객이 아닌 금융회사 임직원과 외주인력의 개인정보가 유출된 것으로 추정되고, 해당 정보가 실제 대출 한도조회 시도에 사용됐다는 점에서 특징적이다.
정보주체가 금융회사 직원이라는 사실만으로 해당 개인정보가 외부 공격자에게 악용되지 않는 것은 아니다.
개인정보의 이용 목적과 접근권한이 적절하게 제한되지 않으면 직원이나 협력업체 인력의 정보도 본인확인 및 금융거래 관련 기능에서 악용될 수 있다.
DB저축은행은 실제 대출 실행을 차단했으므로 직접적인 금전 피해는 확인되지 않았다. 그러나 대출 한도조회 시도까지 진행됐다는 사실은 개인정보 유출 가능성과 금융거래 사칭 위험이 별개의 문제가 아니라 서로 연결될 수 있음을 보여준다.
DB저축은행은 사고 원인으로 디지털채널 고도화 프로젝트 외주인력을 통한 정보 유출 가능성을 제시했다.
금융회사가 외부 업체에 개발 업무를 위탁하는 경우에는 개발·시험·운영 과정에서 개인정보 접근권한의 범위와 자료 반출 경로를 관리할 필요가 있다.
특히 개발용 데이터에 실제 주민등록번호 등 개인정보가 포함되는 경우에는 업무 수행에 필요한 최소한의 정보만 제공하고, 접근 및 반출 기록을 관리하는 것이 중요하다.
다만 이번 사건에서 특정 외주인력의 고의적인 행위나 구체적인 정보 반출 방식이 확정된 것은 아니므로, 이를 이미 밝혀진 내부자 범행으로 분류해서는 안 된다.
이번 사건에서는 비정상적인 대출 가한도 조회 시도가 확인됐지만 실제 대출 실행으로 이어지지 않았다.
이는 개인정보가 금융거래 관련 기능에 입력됐더라도 후속 거래 단계의 통제에 따라 금전 피해를 방지할 수 있음을 보여준다.
그러나 실제 대출 실행을 차단했다는 사실만으로 개인정보 유출 가능성이나 비정상적인 본인 명의 조회 행위가 사라지는 것은 아니다.
따라서 정보 유출 방지와 거래 실행 차단은 서로 보완적인 보안통제로 구분할 필요가 있다.
10월 중순 금융권 공격에서는 이전에 공유된 공격 IP와 직접 일치하는 주소가 발견되지 않았으나, 일부 유사한 주소 대역과 대출 서비스 공격 패턴이 관찰됐다.[4]
이러한 정황은 알려진 IP 주소만 차단하는 조치 외에도 비정상적인 대출 조회 빈도, 동일 접속지에서 다수 정보주체의 명의를 이용하는 행위, 통상적인 이용 패턴에서 벗어난 요청 등을 함께 분석할 필요성을 보여준다.
다만 이러한 탐지 방법은 일반적인 보안상 대응 방안이며, DB저축은행이 실제로 어떤 탐지 규칙을 사용했거나 어떤 특정 규칙에 의해 공격을 차단했는지는 공개되지 않았다.
2026년 10월 28일 기준 공개된 자료만으로는 다음 사항을 확정할 수 없다.
- 임직원·외주인력 142명의 개인정보가 실제 외부로 반출된 경로와 시각
- 142명 전체에 대해 개인정보 유출이 최종 확정됐는지 여부
- 외주인력의 구체적인 관여 방식 및 고의성 여부
- 대출 조회 시도에 사용된 개인정보의 정확한 취득 경로
- 공격자가 사용한 전체 IP 주소 및 실제 접속지
- 100여 명의 대출 시도 대상과 142명 유출 추정 대상 사이의 정확한 관계
- 공격 대상 모바일웹·앱의 구체적인 취약점과 인증·인가 우회 방법
- ARTEX 또는 다른 AI 에이전트의 실제 사용 여부
- 다른 금융회사 침해사고와 동일한 공격자 또는 공격 조직의 소행인지 여부
- 공격자 입건·검거 및 외주인력에 대한 수사 결과
- 금융감독원의 최종 검사 결과와 제재 여부
- 개인정보 유출로 인한 실제 손해배상 지급 여부
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 1.11 1.12 1.13 1.14 1.15 뉴스1, 「[단독]"신청도 안 했는데 대출 조회"…DB저축銀, 개인정보 142명 유출 추정」, 2026년 10월 16일, https://www.news1.kr/finance/general-finance/6322233
- ↑ 2.0 2.1 2.2 2.3 2.4 2.5 2.6 조선비즈, 「[단독] 中 IP, 고객 정보 탈취 이어 DB저축은행서 대출 시도」, 2026년 10월 16일, https://biz.chosun.com/stock/finance/2026/10/16/ZE5DKVDEVBCSLJDPEKIE4ZHCMA/
- ↑ 3.0 3.1 3.2 금융위원회, 「금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다」, 2026년 10월 14일, https://www.fsc.go.kr/no010101/87927
- ↑ 4.0 4.1 4.2 뉴스1, 「금융권 타깃 1·2차 공격 IP 안 겹쳐…동일범 가능성은 배제 못해」, 2026년 10월 19일, https://www.news1.kr/finance/general-finance/6322862