해킹 개인정보 유출 사고가 2026년 9월 말부터 10월 초 사이 은행 7곳, 한국전력, 대학, 대형 교회까지 번졌습니다. 공개된 피해 규모를 단순히 더하면 100만명분이 넘는데요, 어디서 무엇이 새어 나갔는지와 지금 바로 해야 할 대처법을 정리했습니다.
안녕하세요, 소소언니입니다. 요즘 아침에 뉴스를 켜면 “또 털렸다”는 소식이 하루가 멀다 하고 나오죠. 처음엔 은행 이야기라 내 거래 은행만 아니면 괜찮겠지 싶었어요. 그런데 공기업, 대학교, 교회 이름까지 나오는 걸 보고 생각이 바뀌었습니다. 회사에서 들은 온라인 교육, 아이 학교 일로 가입한 사이트, 예전에 다녔던 기관까지, 제 정보가 어디에 남아 있는지 저도 다 모르겠더라고요.
그래서 이번 글은 2026년 10월 11일 공개된 연합뉴스 보도를 바탕으로 쓰고, 과학기술정보통신부와 한국인터넷진흥원(KISA) 발표, 각 기관이 직접 밝힌 내용과 교차 확인해서 정리했습니다. 확정된 내용과 아직 조사 중인 내용은 따로 구분해 두었어요. 40대 이상이면 은행 대출, 직장 교육, 자녀 학교, 종교 활동까지 정보를 맡긴 곳이 정말 많잖아요. 끝까지 읽어보시고 하나씩 점검해 보시길 바랍니다.
1. 해킹 개인정보 유출, 어디까지 번졌나 한눈에 보기
연합뉴스가 2026년 10월 11일 보도한 내용에 따르면 이번 사태는 금융권에서 시작해 공기업, 대학, 대형 교회로 퍼졌습니다. 유출된 정보 종류도 은행 대출 고객의 신용 관련 정보, 공기업 직원 연락처, 대학 구성원의 학적 정보, 교회 성도 명단까지 제각각이에요.
여기서 꼭 알아둘 점이 있어요. 100만명분이라는 숫자는 각 기관이 공개한 피해 규모를 그냥 더한 값입니다. 기관끼리 겹치는 사람이 있는지는 확인되지 않았어요. 실제 피해자 수는 이보다 적을 수도 있고, 조사가 진행되면서 더 늘어날 수도 있습니다. 숫자만 보고 겁먹기보다는 내가 해당되는 곳이 있는지부터 확인하는 게 먼저예요.
핵심 정리: 금융, 공공, 교육, 종교 분야에서 동시다발로 유출이 확인됐고, 단순 합산 피해는 100만명분 이상입니다. 중복 여부는 아직 확인되지 않았습니다.
2. 은행·저축은행·캐피털 7곳 피해 규모 정리
2026년 9월 말부터 10월 초까지 해킹으로 정보가 유출된 금융사는 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈 등 7곳입니다.
지금까지 공개된 피해 규모는 신한은행이 가장 큽니다. 대출 신청과 관련된 고객 정보 약 2만5천명분이 빠져나갔어요. 예가람저축은행도 고객 약 4만명의 정보가 유출된 것으로 파악돼 정확한 규모를 확인하고 있습니다. KB국민은행은 고객 119명, 하나은행은 89명이고, BNK부산은행은 고객이 아니라 외주 개발 직원 11명의 정보가 노출됐습니다.
카카오뱅크, 케이뱅크, 토스뱅크 등 인터넷전문은행 3사 서버에서도 공격에 쓰인 것과 같은 IP의 접근 시도가 있었어요. 다만 3사 모두 시스템 침해나 정보 유출로 이어지지는 않았다고 밝혔습니다. 접근 시도와 실제 유출은 다른 이야기이니 혼동하지 않으셨으면 해요.
공격 경로도 눈여겨볼 만합니다. 신한은행은 대출모집인 전용 서비스가, KB국민은행은 직원용 모바일 업무지원 시스템이 공격을 받았어요. 돈이 오가는 핵심 시스템이 아니라 그 주변 업무 시스템이 뚫린 겁니다.
핵심 정리: 최근 대출을 신청했거나 상담을 받은 분이라면 해당 금융사의 유출 안내 문자나 공지를 꼭 확인해 보세요.
3. 한국전력·서울사이버대학교, 공공과 교육기관도 뚫렸다
한국전력에서는 직원 2만4천여명의 이름, 소속, 전화번호 등이 외부 웹페이지에 노출됐습니다. 한전은 2026년 10월 1일 오후 노출 사실을 알게 된 즉시 관련 시스템 접속을 막고 웹페이지 운영사에 삭제를 요청했으며, 노출된 정보는 10월 2일 자정께 삭제됐다고 설명했어요. 주민등록번호 같은 고유식별정보와 고객 정보는 유출 대상에 포함되지 않았다고 합니다. 전기요금 고객 정보가 새어 나간 건 아니라는 뜻이에요.
서울사이버대학교에서도 재학생, 졸업생, 교직원 등의 개인정보가 외부로 나갔습니다. 학교는 2026년 10월 4일 KISA로부터 구성원 개인정보로 보이는 자료가 외부 사이트에 올라왔다는 통보를 받고 경위를 조사하고 있어요. 이름, 학번, 생년월일, 연락처, 이메일, 주소, 학적·학력 정보 등이 포함됐고, 정확한 피해 인원은 아직 확인되지 않았습니다. 40대 이상 중에는 늦깎이로 사이버대학에서 공부하신 분들도 많아서 특히 관심을 가지셔야 할 부분이에요.
핵심 정리: 한전은 직원 정보만 노출됐고 고객 정보는 제외됐다고 밝혔습니다. 서울사이버대는 피해 인원을 조사 중입니다.
4. 여의도순복음교회·사랑의교회 성도 정보 유출 가능성
이번 사태에서 가장 놀란 부분이 교회였어요. 사이버 위협 인텔리전스 기업 오아시스시큐리티는 해외 공격자 서버에서 여의도순복음교회와 사랑의교회 관련 자료를 발견했다고 밝혔습니다.
여의도순복음교회는 자체 분석 결과 성도 85만명의 이름과 생년월일 등이 유출됐을 가능성이 있다고 전했어요. 단일 기관으로는 이번 사태에서 가장 큰 규모입니다. 다만 아직은 유출 가능성이 제기된 단계라는 점을 기억해 두세요.
교회 성도 정보가 무서운 건 이름, 생년월일에 가족 관계나 소속 모임까지 함께 묶여 있는 경우가 많아서예요. 이런 정보는 “교회 행사 안내”나 “헌금 확인”처럼 믿을 만한 척하는 사칭 연락에 악용되기 쉽습니다. 부모님이 다니시는 교회가 해당된다면 꼭 한번 말씀드려 주세요.
핵심 정리: 교회 관련 유출은 가능성이 제기된 단계이지만, 규모가 커서 사칭 연락에 각별히 주의해야 합니다.
5. 위탁업체 맑은소프트 한 곳에 20여 기관이 줄줄이 피해
이번 사태의 또 다른 특징은 외부 협력업체를 통한 연쇄 유출이에요. 맑은소프트는 기업과 공공기관에 온라인 학습관리시스템(LMS)을 공급하고 여러 기관의 교육 관련 개인정보를 위탁받아 관리해 온 업체입니다.
회사 측 사과문에 따르면 외부 공격자는 2026년 9월 19일 오후 교육 사이트 서버에 불법으로 접근했고, 다음 날 오전 데이터베이스에 저장된 개인정보를 빼냈습니다. 이 과정에서 서버에 백도어라는 악성 프로그램도 설치됐어요.
피해 기관은 국방부, 국민권익위원회 산하 국가청렴권익교육원, 기아 노조 등 20여곳으로 파악됐습니다. 청렴권익배움터 이용자 10만여명, 한국교육시설안전원 온라인 교육 이용자 약 4만명, 기아 광명공장 노조 조합원 약 5천명의 정보가 유출됐어요. 세 곳만 더해도 약 14만5천명입니다. 성명, 소속기관, 생년월일, 주소, 이메일, 아이디, 비밀번호 등이 포함됐다고 해요.
특히 청렴권익배움터 정보는 시스템을 교체한 뒤 파기했어야 할 과거 데이터를 그대로 보관하다가 새어 나간 것으로 파악됐습니다. 예전에 공공기관 청렴 교육이나 직무 교육을 온라인으로 들으셨던 분이라면 한번 확인해 보시길 권해요.
핵심 정리: 내가 직접 가입한 곳이 아니라 위탁업체에서 정보가 샐 수도 있습니다. 회사나 기관을 통해 들은 온라인 교육 사이트도 점검 대상이에요.
6. AI 침투테스트 도구 아르텍스, 왜 더 걱정스러울까
보안업체 지니언스 시큐리티센터는 이번 금융기관 공격에 중국어 기반 오픈소스 에이전틱 침투테스트 도구 아르텍스(ARTEX)가 쓰인 정황을 제기했습니다. 미국 보안기업 크라우드스트라이크도 공격자 서버의 공개 디렉터리에서 아르텍스 설정 파일과 AI 코딩 도구 대화 기록 등을 발견했다고 밝혔어요.
크라우드스트라이크 측은 2026년 10월 8일 화상 브리핑에서 공격자가 “높은 수준의 역량을 가진 것은 아니었다”고 평가했습니다. 바로 이 부분이 무서운 대목이에요. AI 도구를 쓰면 실력이 뛰어나지 않은 공격자도 짧은 시간에 여러 기관을 공격할 수 있다는 뜻이니까요.
다만 교회, 대학, 한전, 맑은소프트 사고에도 이 도구가 쓰였는지는 확인되지 않았습니다. 금융권 사고와 맑은소프트 사고가 같은 공격자 소행인지도 아직 밝혀지지 않았어요. 아르텍스와 관련된 내용은 보안업체 분석에 따른 것이고, 수사기관의 공식 결론은 아니라는 점도 함께 기억해 주세요.
핵심 정리: AI가 해킹의 문턱을 낮추고 있다는 우려가 커졌지만, 모든 사고가 AI 도구와 관련됐다고 확인된 것은 아닙니다.
7. 정부 대응과 개인정보 유출 후 우리 집 셀프 점검법
과학기술정보통신부와 KISA는 2026년 10월 4일부터 인터넷침해대응센터(KISC)를 24시간 비상 체제로 운영하고 있습니다. 주요 기업 모니터링과 침해사고 대응 인력을 늘렸고, 정보보호최고책임자(CISO)를 신고한 기업 약 2만8천곳에 보안 점검을 권고하는 이메일도 보냈어요. 교육부도 맑은소프트 사고 직후 산하기관 400여곳에 긴급 보안 권고문을 보냈습니다.
그럼 우리는 뭘 해야 할까요? 저는 뉴스를 보고 나서 가족 단톡방에 몇 가지를 공유했어요. 먼저 여러 사이트에서 같은 비밀번호를 쓰고 있다면 지금 바로 바꾸세요. 맑은소프트 사고처럼 아이디와 비밀번호가 함께 유출되면 다른 사이트까지 연쇄로 뚫릴 수 있거든요. 은행과 이메일에는 2단계 인증을 켜두시는 게 좋습니다.
다음으로 한국정보통신진흥협회가 운영하는 엠세이퍼에서 내 명의로 몰래 개통된 휴대폰이 없는지 조회하고, 필요하면 가입제한 서비스를 신청해 두세요. 유출 기관을 사칭한 “피해 보상 안내” 문자 속 링크는 누르지 말고, 반드시 해당 기관의 공식 홈페이지나 대표번호로 직접 확인하셔야 합니다. 피해가 의심되면 KISA 개인정보침해 신고센터에 국번 없이 118로 상담할 수 있어요.
핵심 정리: 비밀번호 변경, 2단계 인증, 명의도용 조회, 사칭 문자 무시, 이 네 가지만 해도 2차 피해를 크게 줄일 수 있습니다.
자주 묻는 질문 (FAQ)
Q1. 제가 이번 해킹 개인정보 유출 대상인지 어떻게 알 수 있나요?
유출이 확인된 기관은 개인정보 보호법에 따라 피해자에게 유출 사실을 알려야 합니다. 그래서 해당 은행이나 기관의 문자, 이메일, 홈페이지 공지를 먼저 확인하시는 게 가장 정확해요. 다만 공지를 사칭한 문자도 돌 수 있으니, 문자 속 링크 말고 공식 앱이나 홈페이지에 직접 들어가서 확인하시길 권합니다.
Q2. 100만명이 넘게 털렸다는 게 사실인가요?
각 기관이 공개한 피해 규모를 단순히 더하면 100만명분이 넘는다는 뜻입니다. 여의도순복음교회에서 유출 가능성이 제기된 85만명이 큰 비중을 차지해요. 기관 간 중복 여부는 확인되지 않았고 일부는 아직 조사 중이라, 실제 피해자 수는 앞으로 달라질 수 있습니다.
Q3. 인터넷은행 고객도 피해를 봤나요?
카카오뱅크, 케이뱅크, 토스뱅크 서버에서 공격에 쓰인 것과 같은 IP의 접근 시도가 확인됐습니다. 하지만 3사 모두 시스템 침해나 정보 유출로 이어지지는 않았다고 밝혔어요. 현재 공개된 자료 기준으로 인터넷은행 고객 정보가 유출됐다는 사실은 확인되지 않았습니다.
Q4. 한전 고객인데 제 정보도 나갔을까요?
한국전력은 이번에 노출된 정보가 직원 2만4천여명의 이름, 소속, 전화번호 등이라고 밝혔습니다. 주민등록번호 같은 고유식별정보와 고객 정보는 유출 대상에 포함되지 않았다고 설명했어요. 다만 한전을 사칭한 요금 관련 문자가 늘어날 수 있으니 링크 클릭은 조심하셔야 합니다.
Q5. 맑은소프트는 제가 가입한 적 없는데 상관없나요?
맑은소프트는 다른 기관의 온라인 교육 시스템을 위탁 운영한 업체라 이용자가 회사 이름을 모르는 경우가 많습니다. 국방부, 국가청렴권익교육원, 한국교육시설안전원 등 20여 기관의 교육 사이트가 피해를 봤어요. 회사나 기관을 통해 온라인 교육을 들은 적이 있다면 해당 사이트 공지를 확인해 보세요.
Q6. 유출된 정보로 실제 어떤 피해가 생길 수 있나요?
이름, 연락처, 생년월일이 함께 유출되면 나를 잘 아는 척하는 맞춤형 스미싱이나 보이스피싱에 악용될 수 있습니다. 비밀번호까지 유출됐다면 같은 비밀번호를 쓰는 다른 사이트에 무단 로그인하는 시도도 생길 수 있어요. 비밀번호 변경과 2단계 인증 설정이 가장 확실한 대비입니다.
Q7. 피해가 의심되면 어디에 신고하나요?
개인정보보호위원회와 한국인터넷진흥원이 운영하는 개인정보침해 신고센터에서 인터넷이나 국번 없이 118 전화로 상담과 신고를 할 수 있습니다. 내 명의로 휴대폰이 개통됐는지 걱정된다면 엠세이퍼 명의도용방지서비스에서 조회해 보세요. 금전 피해가 생겼다면 바로 해당 금융사와 경찰에 신고하셔야 합니다.
마무리하며
오늘은 2026년 9월 말부터 10월 초까지 이어진 해킹 개인정보 유출 사태를 정리해 봤습니다. 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 금융사 7곳, 직원 2만4천여명 정보가 노출된 한국전력, 서울사이버대학교, 유출 가능성이 제기된 여의도순복음교회와 사랑의교회, 그리고 위탁업체 맑은소프트 한 곳 때문에 피해를 본 20여 기관까지, 정말 분야를 가리지 않았죠.
이번 일로 크게 느낀 건, 내가 아무리 조심해도 정보를 맡긴 곳이나 그 곳의 협력업체가 뚫리면 막기 어렵다는 점이에요. 그래도 비밀번호를 바꾸고, 2단계 인증을 켜고, 명의도용 조회를 해두는 것만으로도 2차 피해는 충분히 줄일 수 있습니다. 오늘 저녁엔 부모님께도 “모르는 링크는 절대 누르지 마세요” 한마디 전해 드리면 어떨까요.
혹시 유출 안내 문자를 받으셨거나 직접 해보신 대처법이 있다면 댓글로 나눠 주세요. 다른 분들께 큰 도움이 됩니다. 글이 도움이 되셨다면 공감과 이웃추가도 부탁드려요. 다음 글에서는 개인정보 유출 피해를 입었을 때 받을 수 있는 분쟁조정과 보상 절차를 정리해 보겠습니다. 오늘도 소소언니의 글을 읽어주셔서 감사합니다.
참고할 수 있는 공식 경로: KISA 개인정보침해 신고센터, 엠세이퍼 명의도용방지서비스, KISA 보호나라, 연합뉴스 원문 기사
면책조항: 이 글은 2026년 10월 11일 기준 공개된 언론 보도와 각 기관 발표를 바탕으로 정리한 정보 제공용 글입니다. 피해 규모, 유출 항목, 공격 경로 등은 조사 결과에 따라 달라질 수 있으며, 개별 피해 여부와 보상 절차는 해당 기관과 관계 당국의 공식 안내를 따라 주시기 바랍니다.
AI 활용 공지: 이 글은 AI 도구의 도움을 받아 자료를 정리하고 초안을 작성했으며, 작성자가 내용을 검토하고 다듬어 발행했습니다.