금융사 16곳 해킹, 내가 쓰는 곳 있나 — 이름·주문번호까지 아는 '유출 보상금' 문자 구별법과 털린 비밀번호 조회
목차
"고객님의 정보가 유출되어 보상 대상입니다. ○○○님, 주문번호 2024-xxxx 건 확인 부탁드립니다." 이런 문자를 받으면 대부분 멈칫합니다. 내 이름도, 예전에 주문한 번호도 정확하니까요. 하지만 지금은 상대가 내 정보를 안다는 사실이 진짜라는 증거가 되지 못합니다. 그 정보가 이미 새어 나갔기 때문입니다.
금융위원회와 금융감독원은 10월 14일 제2차 긴급 상황대응 회의에서 침해사고가 확인된 금융회사가 16곳, 빠져나간 개인정보가 약 10만 건이라고 밝혔습니다. 지난주까지 은행 등 7곳으로 알려졌던 것이 두 배 넘게 늘었습니다. 금융위는 이달 6일 유출 정보를 악용한 보이스피싱·스미싱에 소비자경보 '주의'를 내렸고, 6일부터 한 달을 '개인정보 유출 2차 피해 특별대응기간'으로 운영하고 있습니다. 내가 쓰는 곳이 명단에 있는지, 이름과 주문번호를 들이미는 문자를 어떻게 가려내는지, 털린 비밀번호를 어떻게 조회하는지 차례로 정리했습니다.
💡 핵심 요약
- 규모: 금융회사 16곳(은행 4·저축은행 4·캐피탈 2·온투업 2·가상자산 2·전자금융 1·상호금융 1), 개인정보 약 10만 건 (금융위 10/14 발표)
- 유출 항목: 성명·연락처·주민등록번호·이메일. 계좌 비밀번호·카드번호 유출은 확인되지 않음
- 노리는 수법: '유출 확인', '피해 보상금 지급', '보안 점검'을 내세워 링크 접속·원격제어 앱 설치·선입금 유도
- 원칙: 문자·메신저 링크는 누르지 말고, 평소 쓰던 공식 앱이나 홈페이지에 직접 들어가 확인
- 오늘 할 일: 털린 내 정보 찾기(kidc.eprivacy.go.kr)로 비밀번호 유출 조회 → 재사용 비밀번호 교체 → 파인 '개인정보노출자 사고예방시스템' 등록 검토
침해사고 금융회사 16곳, 어디인가?
결론부터 말하면, 은행 4곳·저축은행 4곳을 비롯해 7개 업권에 걸쳐 있습니다. 금융위원회가 공개한 업권별 명단은 다음과 같습니다.
| 업권 | 회사 | 곳 |
|---|---|---|
| 은행 | 신한은행, KB국민은행, 하나은행, BNK부산은행 | 4 |
| 저축은행 | 예가람저축은행, 웰컴저축은행, DB저축은행, OK저축은행 | 4 |
| 여신전문금융(캐피탈) | 현대캐피탈, 산은캐피탈 | 2 |
| 온라인투자연계금융(P2P) | PFCT, 모우다 | 2 |
| 가상자산사업자 | 스트리미, 프라뱅 | 2 |
| 전자금융업 | 브라이트픽스 | 1 |
| 상호금융 | 새마을금고중앙회 | 1 |
| 합계 | 16 | |
빠져나간 정보는 성명, 연락처, 주민등록번호, 이메일 주소 등입니다. 당국은 계좌 비밀번호나 카드번호처럼 곧바로 부정 결제로 이어질 수 있는 정보는 유출되지 않은 것으로 확인했다고 밝혔습니다. 회사별 유출 건수와 세부 항목은 공개되지 않았으므로, 거래하는 곳이 명단에 있다면 해당 회사의 공식 앱 공지나 개별 유출 통지를 확인하는 것이 정확합니다.
명단에 없다고 안심할 일도 아닙니다. 쇼핑몰·통신사·OTT 등 다른 서비스에서 이미 새어 나간 정보도 함께 쓰이기 때문입니다. 사기범이 쥐고 있는 건 한 회사의 자료가 아니라, 여러 곳에서 흘러나온 조각을 이어 붙인 '내 프로필'에 가깝습니다.
내 이름·주문번호까지 아는데, 왜 가짜일 수 있나?
그 정보 자체가 유출된 것이라서입니다. 가상자산 거래소 빗썸이 16일 시작한 10월 정보보호 캠페인에서 짚은 수법을 보면, 사기범은 이름·휴대전화 번호·이메일에 더해 과거 주문 번호, 이용했던 서비스명, 예전에 썼던 비밀번호 일부까지 내밀며 이미 내 정보를 가진 '회사 사람'처럼 행세합니다.
미끼 문구는 대체로 두 가지입니다.
- "고객님의 정보가 유출되어 보상 대상입니다"
- "보안 점검을 위해 계정 확인이 필요합니다"
목표는 세 가지로 모입니다. ① 가짜 로그인 페이지에 비밀번호와 인증번호를 입력하게 하기, ② 원격제어 앱을 설치하게 하기, ③ 돈을 보내게 하기. 금융위는 유출 정보로 금융회사 직원을 사칭한 뒤 저금리 대환대출을 제안하고, 기존 대출 상환금이나 보증료 명목으로 선입금을 요구하는 수법을 주요 경계 대상으로 꼽았습니다.
한 번 빼앗긴 비밀번호는 다른 서비스에 차례로 대입됩니다. 여러 금융 앱에서 같은 비밀번호를 쓰고 있다면, 한 곳의 유출이 다른 계정 탈취로 번질 수 있다는 뜻입니다.
진짜 보상 안내와 가짜 문자, 어떻게 구별하나?
가장 확실한 기준은 '링크'와 '요구하는 것'입니다. 참고로 금융당국은 올해 2월 빗썸 오지급 사고 보상 때도 회사가 보상 안내 문자에 인터넷 주소(URL)를 넣지 않도록 조치하고, 이용자에게 보상금 관련 링크를 누르지 말라고 당부했습니다. 실제로 받은 문자를 아래 표에 대어 보세요.
| 문자·전화 내용 | 판정 | 이유 |
|---|---|---|
| "보상금 신청은 아래 링크에서" + 단축 URL | ❌ 의심 | 보상 확인은 공식 앱·홈페이지에서 직접 하면 된다. 링크를 누를 이유가 없다 |
| "보안 점검용 앱을 설치해 주세요" | ❌ 의심 | 원격제어·악성 앱 설치 유도. 금융회사는 문자로 앱 설치 파일을 보내지 않는다 |
| "유출 피해자 전용 저금리 대환대출, 기존 대출 먼저 상환" | ❌ 의심 | 금융위가 꼽은 대표 수법. 대출을 이유로 선입금을 요구하면 사기 |
| "인증번호를 불러 주시면 확인해 드립니다" | ❌ 의심 | 인증번호는 본인만 입력하는 값. 전화로 묻는 회사는 없다 |
| 내 이름·주문번호·이메일을 정확히 알고 있음 | ⚠️ 판단 근거 아님 | 유출된 정보일 수 있다. 진짜·가짜 어느 쪽의 증거도 되지 않는다 |
| 링크 없이 "앱 공지사항을 확인해 주세요" | △ 앱에서 확인 | 문자 속 번호로 전화하지 말고, 평소 쓰던 앱을 직접 열어 공지를 찾는다 |
전화로 확인하고 싶다면 문자에 적힌 번호가 아니라, 카드 뒷면이나 공식 홈페이지에 나온 대표번호로 내가 직접 거는 것이 원칙입니다. 확인하는 주체가 내가 되어야 합니다.
내 비밀번호가 털렸는지 확인하는 방법은?
개인정보보호위원회와 한국인터넷진흥원(KISA)이 운영하는 '털린 내 정보 찾기 서비스'로 조회할 수 있습니다. 다크웹 등에서 불법 유통되는 계정 정보와 대조해 내 아이디·비밀번호가 포함됐는지 알려 줍니다.
- kidc.eprivacy.go.kr에 접속합니다. (주소창에 직접 입력하세요. 검색 광고나 문자 링크로 들어가지 않습니다.)
- 유출 여부 조회를 고르고 개인정보 수집·이용에 동의합니다.
- 이메일로 본인 확인을 합니다. 이메일 인증은 하루 최대 3회입니다.
- 조회할 아이디·비밀번호를 입력하면 유출 이력 대조 결과가 나옵니다.
유출됐다고 나오면 그 비밀번호를 쓰는 모든 서비스에서 바꿉니다. 특히 금융 앱, 이메일, 쇼핑몰처럼 결제 수단이 연결된 곳부터입니다. 빗썸도 같은 이유로 다른 사이트와 겹치지 않는 전용 비밀번호를 쓰고, 로그인 뒤 한 번 더 인증하는 2단계 인증을 켜 두라고 권했습니다. 대부분의 금융 앱과 거래소에 있는 기능입니다.
명의도용이 걱정되면 무엇을 막아 둘 수 있나?
주민등록번호까지 새어 나갔다면 '내 이름으로 새 계좌·대출이 생기는 것'을 막는 것이 핵심입니다. 방법은 두 가지이고, 함께 걸어 둘 수 있습니다.
| 구분 | 개인정보노출자 사고예방시스템 | 금융거래 안심차단 |
|---|---|---|
| 운영 | 금융감독원 | 금융권 공동 |
| 신청 | 파인(fine.fss.or.kr) → 소비자보호 → 개인정보노출 등록·해제, 본인인증 후 등록. 은행 영업점 방문 신청도 가능 | '내계좌한눈에' 또는 거래 은행 앱 |
| 효과 | 등록 즉시 전 금융회사에 노출 사실 전파, 영업점 단말기에 본인확인 주의 문구 표시. 신규 계좌 개설·카드 발급·대출 신청 등 제한 | 본인 모르게 이뤄지는 여신 거래(대출)·비대면 계좌 개설 차단 |
| 불편한 점 | 내가 새 계좌·카드를 만들 때도 절차가 까다로워짐 → 필요하면 해제 | 내가 대출이 필요할 때 해제 후 신청 |
두 서비스의 구체적인 신청 순서와 휴대폰 개통을 막는 명의도용방지서비스(엠세이퍼)는 은행 정보 유출 통지를 받았을 때 오늘 할 일 5가지에 단계별로 정리해 두었습니다.
이미 링크를 눌렀거나 정보를 입력했다면?
순서가 중요합니다. 먼저 끊고, 다른 기기로 바꾸고, 신고합니다.
- 네트워크 차단: 와이파이와 모바일 데이터를 끄거나 비행기 모드로 바꿉니다. 원격제어 앱이 깔렸다면 연결부터 끊어야 합니다.
- 다른 기기로 비밀번호 변경: 감염되지 않은 PC나 가족 휴대폰으로 금융 앱·이메일 비밀번호를 바꾸고 2단계 인증을 다시 설정합니다.
- 지급정지 요청: 돈이 빠져나갔다면 즉시 112 또는 해당 금융회사 대표번호로 지급정지를 요청합니다.
- 명의도용 차단: 위 표의 개인정보노출자 등록과 안심차단을 겁니다.
- 가상자산 거래소 이용자: API 키를 지우고 출금 주소 목록(화이트리스트)을 점검합니다.
직접 이체한 돈을 은행이 얼마나 돌려줄 수 있는지는 보이스피싱 직접 송금과 은행 배상 기준 글을 참고하세요. 현재 제도에서는 사기 계좌에 남은 돈만 돌려받을 수 있어, 빠른 지급정지가 가장 중요합니다.
오늘 체크리스트
- ☐ 거래하는 금융회사가 16곳 명단에 있는지 확인하고, 있다면 공식 앱 공지·유출 통지 확인
- ☐ '보상금', '보안 점검' 문자 속 링크는 누르지 않기 (가족, 특히 부모님께도 공유)
- ☐ 털린 내 정보 찾기(kidc.eprivacy.go.kr)에서 자주 쓰는 아이디·비밀번호 조회
- ☐ 여러 곳에 같이 쓰는 비밀번호를 금융 앱부터 각각 다르게 바꾸기
- ☐ 금융 앱·이메일에 2단계 인증 켜기
- ☐ 주민등록번호 유출 통지를 받았다면 개인정보노출자 등록·안심차단 신청
자주 묻는 질문
Q. 유출 통지를 받았는데, 보상은 어떻게 받나요?
회사마다 보상 여부와 방식이 다릅니다. 문자 속 링크가 아니라 해당 금융회사의 공식 앱이나 홈페이지 공지에서 확인하세요. 보상을 이유로 앱 설치, 인증번호, 계좌 비밀번호, 선입금을 요구한다면 사기로 보면 됩니다.
Q. 카드번호가 안 털렸다면 카드를 재발급할 필요는 없나요?
당국 발표 기준으로 이번 16곳 사고에서 카드번호·계좌 비밀번호 유출은 확인되지 않았습니다. 다만 이후 피싱 사이트에 카드 정보를 입력한 적이 있다면 즉시 카드사에 연락해 정지·재발급을 받아야 합니다.
Q. 개인정보노출자로 등록하면 신용점수에 영향이 있나요?
등록은 금융회사에 '본인 확인을 더 꼼꼼히 하라'고 알리는 장치로, 신규 계좌·카드·대출 같은 거래가 제한될 뿐 신용 평가 항목으로 안내된 것은 아닙니다. 새 거래가 필요해지면 파인에서 해제한 뒤 진행하면 됩니다.
출처: 금융위원회·금융감독원 제2차 긴급 상황대응 회의 결과(2026.10.14), 금융위원회 소비자경보(2026.10.6), 빗썸 10월 정보보호 캠페인 보도(소비자가만드는신문·포쓰저널 등, 2026.10.16), 개인정보보호위원회·KISA 털린 내 정보 찾기 서비스, 금융감독원 파인.
