신한·KB·현대캐피탈까지 뚫렸다, 내 대출정보도? 5분 만에 끝내는 '명의도용 방지' 신청법

업데이트 10월 4일 저녁

금융위원회 전 금융권 긴급 점검회의 결과(외부 노출 시스템 전면 점검, 외부 접근 원칙적 차단 지시)를 반영했습니다.

지난 1일 신한은행의 대출 관련 고객정보 유출이 알려진 뒤, KB국민은행·하나은행·BNK부산은행에 이어 3일에는 예가람저축은행과 현대캐피탈까지 피해가 공표됐습니다. 은행에서 저축은행, 캐피탈사로 번지는 속도가 빨라서 "내 대출정보도 털렸나?" 하는 불안이 커진 상태입니다.

이 글은 불안을 키우려는 글이 아닙니다. 무엇이 실제로 확인됐고, 무엇은 아직 확인되지 않았는지를 먼저 가르고, 그다음 내 명의를 지키는 신청 절차를 핵심 3단계 기준 5분 안에 끝낼 수 있게 정리했습니다. 보도 기준 시점은 2026년 10월 4일입니다.

이 글의 결론 먼저

① 이번 사고의 공통 통로는 고객용 앱이 아니라 대출모집인·직원용 업무 조회 시스템이었습니다.

② 현대캐피탈은 일반 고객이 아니라 주택대출 모집인 146명의 정보가 유출됐다고 밝혔습니다.

③ 그래도 연 소득·대출 한도 같은 정보가 나간 만큼, 명의도용 방지 설정과 사칭 전화 대비는 해둘 가치가 있습니다.

목차

1. 누구의 정보가 어디서 나갔나 2. 열흘 사이 타임라인 3. 공격은 이렇게 이뤄졌다 4. 숫자 뒤 3가지 포인트 5. 정보 조합별 위험 매트릭스 6. 5분 명의도용 방지 신청법 7. 30초 자가진단 8. 상황별 우선순위 9. 차단의 비용 계산 10. 사칭 연락 3유형 11. 피해 시 골든타임 12. 소문 vs 사실 13. 자주 묻는 질문 14. 가족 점검·월 루틴 15. 체크리스트 16. 국감 관전 포인트

1. '뚫렸다'는 사실, 그런데 누구의 정보가 어디서 나갔나

보도를 종합하면 금융사마다 뚫린 곳도, 빠져나간 정보도 다릅니다. 한 줄로 묶어 "고객정보 대량 유출"이라고만 이해하면 정작 내가 해야 할 일을 놓치기 쉽습니다.

금융사	뚫린 곳	규모	확인된 주요 항목
신한은행	대출모집인 전용 조회 서비스	약 2만 5천 명	이름·전화번호·연 소득·산출 한도 (주민번호 66건, 연계정보 CI 97건 포함)
KB국민은행	직원용 모바일 업무지원시스템	119명	이름·전화번호·주소·암호화된 주민번호
하나은행	영업지원시스템(ODS)	89명	이름·주민번호·주소·직장명·이메일·전화번호
BNK부산은행	외주 직원 관련	11명	외주 직원 정보로 보도됨
현대캐피탈	주택대출 모집인 조회 페이지	모집인 146명	이름·전화번호·이메일·주민번호·모집인 번호 (회사 발표: 일반 고객 정보 유출 없음)
예가람저축은행	조사 중	약 4만 명 추정	성명·생년월일·연락처 (정확한 인원은 확인 중)
우리·NH농협	외부 접근 시도	확인 안 됨	시도는 차단했고 현재까지 유출은 확인되지 않음

※ 수치는 10월 3~4일자 언론 보도 기준이며 조사가 진행 중이라 바뀔 수 있습니다. 보도마다 신한은행 인원이 조금씩 달라 '약 2만 5천 명'으로 적었습니다.

제목의 '현대캐피탈까지'를 정확히 읽는 법

현대캐피탈에서 빠져나간 것은 대출을 받은 고객의 정보가 아니라 대출을 소개하는 모집인 146명의 개인정보입니다. 다만 모집인의 주민번호와 내부 모집인번호처럼 일반에 공개되지 않는 정보가 포함됐고, 회사는 AI를 활용한 정보 조회 공격이었다고 설명했습니다.

2. 열흘 사이 무슨 일이 있었나: 타임라인

시점	확인된 내용
9월 28일 저녁	신한은행 대상 공격 IP가 처음 유입된 것으로 추정(오후 6시 4분경)
9월 29일 오전	신한은행이 이상 징후를 확인하고 해당 IP를 차단했지만, 6개 서비스를 노린 공격은 이후에도 이어짐
9월 30일	신한 공격이 약 30시간 지속된 끝에 종료. 같은 날 밤 KB국민은행 직원용 시스템에도 외부 침입
10월 1일	신한은행 대출 관련 고객정보 유출 사실이 알려짐
10월 2일	금융위원회 긴급 상황대응 회의, 경찰청 사이버테러대응수사대 입건 전 조사 착수, 하나은행이 피해 고객에게 개별 통보
10월 3일	현대캐피탈·예가람저축은행 피해 공표. 당국은 7일로 잡았던 전 금융권 회의를 4일로 앞당김
10월 4일 오후 2시	금융위원장 주재 전 금융권 긴급 점검회의. 외부 노출 IT자산·접근통제 전면 점검, 업무상 필수가 아니면 외부 접근 원칙적 차단 지시. KISA는 침해사고 모니터링 단계를 '주의'로 격상
10월 8일(예정)	국회 정무위원회 금융위원회 국정감사. 금융권 보안 체계와 감독 책임이 쟁점이 될 전망

※ 4일 회의 결과까지 반영했습니다. 게시일인 9일까지 새 대책이나 피해 규모가 추가될 수 있으니 금융위원회·금감원 공지를 함께 확인하세요.

3. 공격은 이렇게 이뤄졌다: 호텔 복도 비유

신한은행 사례로 보도된 공격 흐름을 비유로 풀었습니다. 조사가 진행 중이라 세부 내용은 달라질 수 있습니다.

단계	보도된 내용	호텔에 빗대면
① 문 찾기	고객용 앱이 아니라 외부에서 접근 가능한 대출모집인 조회 서비스가 공격 대상이 됨	투숙객 출입구 대신 직원 통로의 문을 찾아냄
② 번호 두드리기	무작위 값을 입력해 실제 존재하는 고객번호를 찾아냄	객실 번호를 아무렇게나 눌러 실제 있는 방을 골라냄
③ 문 열기	본인 확인 절차를 우회해 조회 서비스에 접근했다고 보도됨	열쇠 확인이 느슨한 문으로 들어감
④ 쓸어 담기	약 30시간 동안 8개국 IP를 동원해 반복 조회, 2만 5천여 건 유출	하루 넘게 방마다 투숙객 명부를 베껴 감

AI가 바꾼 것은 '사람 손'이 필요 없어졌다는 점

한국인터넷진흥원(KISA)은 과거엔 숙련 인력과 인프라가 필요했지만 AI 에이전트가 취약점 탐색, 공격 반복, 정보 취합을 자동화할 수 있다고 우려했습니다. 금융위원장은 AI 공격 가능성을 배제할 수 없다는 입장이며, 확정된 사실은 아닙니다. 필자 생각에 이 사건의 교훈은 '한 번 막으면 끝'이 아니라 사용자도 정기적으로 점검해야 한다는 것입니다.

4. 숫자 뒤에 숨은 3가지 포인트 (필자의 해석)

아래는 보도 사실을 바탕으로 한 필자의 정리이며, 수사·조사 결과에 따라 달라질 수 있습니다.

포인트	왜 중요한가
뒷문이 뚫렸다	뚫린 곳은 고객이 쓰는 인터넷·모바일뱅킹이 아니라 모집인·직원이 쓰는 업무 시스템이었습니다. 일반 고객은 앱을 안 써도, 대출 상담 과정에서 정보가 이런 시스템을 지나갈 수 있습니다. 내가 막을 수 없는 구간이 있으니 내 쪽의 안전장치가 필요한 이유입니다.
바꿀 수 없는 정보다	비밀번호는 바꾸면 그만이지만 연 소득과 대출 한도는 바꿀 수 없습니다. 이 정보를 아는 사기범은 "고객님 한도가 이 정도로 나옵니다"처럼 진짜 상담원처럼 접근할 수 있습니다.
명의도용보다 사칭이 먼저	공개된 자료상 주민번호가 포함된 건은 신한 66건처럼 일부입니다. 대다수 피해자에게 더 현실적인 위험은 명의도용 자체보다 정교해진 보이스피싱·스미싱입니다. 그래서 이 글은 차단 설정과 사칭 대응을 함께 다룹니다.

5. 내 정보 조합별 위험 매트릭스

유출 항목이 같아도 무엇이 함께 새느냐에 따라 사기범이 쓸 수 있는 말이 달라집니다.

노출 정보 조합	사기범이 쓸 수 있는 말	위험도	내 대응
이름 + 전화번호	"OO님 맞으시죠? 대출 건으로 연락드렸습니다"	★	모르는 번호의 대출 권유는 끊고 대표번호로 확인
+ 주소·직장명	택배·관공서·회사 사칭에 실제 정보를 섞어 신뢰를 얻음	★★	개인정보를 안다는 이유로 믿지 않기
+ 연 소득·대출 한도	"고객님 한도면 저금리 대환이 가능합니다"	★★★	대환 제안은 공식 앱에서만 진행
+ 주민번호·CI	본인 명의 계좌·대출·휴대폰 개설 시도	★★★★	노출자 등록, 안심차단, 가입제한
모집인 정보 (현대캐피탈형)	실제 모집인 이름으로 고객에게 접근 (필자 추정)	★★★	이름이 맞아도 금융사 대표번호로 위탁 여부 확인

※ 별 개수는 필자의 주관적 기준이며 공식 등급이 아닙니다.

6. 5분 만에 끝내는 명의도용 방지 신청법

아래 5가지 중 1·2·3번만 해도 약 5분이면 됩니다. 시간은 단계 수 기준 예상치이며 본인 인증 환경에 따라 달라집니다.

순서	할 일	어디서	막아주는 것	예상 시간
1	개인정보노출자 등록	금감원 파인(fine.fss.or.kr), pd.fss.or.kr, 콜센터 1332, 은행·우체국·새마을금고 영업점	등록 명의로 신규 계좌·대출·카드 거래 시 금융사가 본인 확인을 강화	약 2분
2	안심차단 3종 신청	어카운트인포(payinfo.or.kr), 지원하는 은행 앱, 거래 금융사 영업점	여신거래(신규 대출·카드 발급), 비대면 계좌개설, 오픈뱅킹 신규 이용	약 2분
3	내 명의 계좌·대출 조회	어카운트인포(payinfo.or.kr)	내가 모르는 계좌·대출이 이미 만들어졌는지 확인	약 1분
4	휴대폰 명의 확인·가입제한	엠세이퍼(msafer.or.kr) 가입사실현황조회·가입제한	내 명의로 모르는 휴대전화 회선이 개통되는 것	약 2분
5	신용조회 차단 (선택)	올크레딧(allcredit.co.kr) 등 신용정보회사의 명의보호 서비스	본인 동의 없는 신용조회, 차단·조회 시 알림	약 2분

※ 금융감독원 개인정보노출자 등록은 신분증 분실, 피싱 등으로 개인정보가 노출돼 명의도용이 우려될 때 이용하는 제도입니다. 등록과 해제는 같은 경로에서 할 수 있습니다.

차단의 대가를 먼저 계산하세요

안심차단이나 신용조회 차단을 켜 두면, 정작 내가 대환대출·전세대출·신용카드를 신청할 때도 막힐 수 있습니다. 가까운 시일에 대출 갈아타기나 카드 발급 계획이 있다면 3번 조회부터 하고, 차단은 신청이 끝난 뒤 걸거나 신청 직전에 해제하는 순서를 권합니다. 해제 방법은 서비스마다 다르니 신청할 때 해제 경로를 함께 확인해 두세요.

7. 30초 자가진단: 나는 어디까지 막아야 할까

해당되는 항목의 점수를 더해 보세요. 필자가 만든 간이 점검표이며 공식 기준이 아닙니다.

항목	점수
은행·금융사 공식 확인에서 유출 대상으로 나왔다	+3
유출 항목에 주민번호·CI가 있다	+4
유출 항목에 연 소득·대출 한도가 있다	+2
최근 1년 안에 모집인을 통해 대출을 상담했다	+1
수상한 링크를 누르거나 낯선 앱을 설치한 적이 있다	+3
여러 금융 서비스에 같은 비밀번호를 쓴다	+1
3개월 안에 대출 갈아타기·카드 발급 계획이 있다	−2

합계	권장 단계
0점 이하	3·4번 조회만 정기적으로
1~3점	조회 + 여신거래 안심차단 검토
4~6점	노출자 등록 + 안심차단 3종 + 조회
7점 이상	위 전부 + 비밀번호·인증수단 점검, 거래 알림 설정

8. 내 상황엔 뭘 먼저? 상황별 우선순위표

모든 사람이 5가지를 전부 걸어야 하는 것은 아닙니다. 아래는 필자의 제안이며, 개인 상황에 따라 달라질 수 있습니다.

내 상황	먼저 할 일	미뤄도 되는 것
은행 공식 확인에서 유출 대상이고 주민번호·CI가 포함됐다	1~4번 모두 + 사칭 전화 대비	없음
유출 대상이지만 이름·전화번호·소득 정도다	2번 여신거래 안심차단 + 3번 조회 + 사칭 전화 대비	1·5번은 선택
대상은 아니지만 3개월 안에 대출을 갈아탈 계획이다	3·4번 조회만 하고, 차단은 대출 실행 후에	차단 전반
대상도 아니고 대출·카드 계획도 없다	3·4번 조회로 현황 점검, 원하면 안심차단	1·5번
이미 모르는 송금·대출·결제가 있다	해당 금융사에 지급정지 요청 + 112 신고가 최우선	설정은 그다음

9. 차단의 비용: 해제를 깜빡하면 얼마나 손해일까

안심차단은 무료지만 대환 시점과 어긋나면 이자 차이만큼 손해입니다. 대환이 한 달 늦어질 때의 이자 차이를 계산했습니다.

대출 잔액	금리 0.3%p 인하	0.5%p 인하	1.0%p 인하
1억 원	약 2.5만 원	약 4.2만 원	약 8.3만 원
3억 원	약 7.5만 원	약 12.5만 원	약 25만 원
5억 원	약 12.5만 원	약 20.8만 원	약 41.7만 원

가상 사례: 대환을 앞둔 김 과장

잔액 3억 원, 대환으로 금리를 0.5%p 낮출 수 있는 상황이라고 가정해 봅시다. 뉴스에 놀라 안심차단 3종을 모두 걸었다가 해제를 잊고 대환을 신청하면 신규 여신거래가 막혀 한 달이 밀립니다. 비용은 약 12.5만 원입니다. 순서를 대환 실행 후 차단, 신청 직전 해제로 바꾸면 이 손해는 없습니다. (김 과장은 이해를 돕기 위한 가상 인물입니다.)

10. 진짜 위험은 설정 다음에 온다: 사칭 연락 3유형

신한은행 사례처럼 연 소득과 대출 한도가 유출됐다면 사기범은 "내 상황을 아는 사람"처럼 말할 수 있습니다. 상대가 내 정보를 안다는 사실은 진짜 은행 직원이라는 증거가 아닙니다.

유형	이런 식으로 접근합니다	이렇게 대응하세요
유출 보상 안내	"피해 보상 신청은 아래 링크에서" 같은 문자, 원격제어·APK 설치 요구	링크는 누르지 말고 평소 쓰는 공식 앱이나 직접 입력한 공식 주소에서 확인
저금리 대환 권유	연 소득·한도를 언급하며 "기존 대출 먼저 상환하면 더 낮은 금리"	전화를 끊고 은행 대표번호로 직접 확인, 개인 계좌로 먼저 송금 요구는 즉시 의심
기관 사칭	검찰·금감원·은행 직원이라며 "계좌 보호를 위해 현금 전달"	어떤 기관도 현금 전달이나 인증번호 제공을 요구하지 않습니다. 응하지 말고 112 상담

※ 신한은행과 하나은행은 정보 유출로 실제 피해가 생기면 전액 보상하겠다고 밝혔습니다. 다른 금융사는 각사 공지로 확인하세요.

11. 피해를 알았을 때의 골든타임

시점	할 일	이유
알아챈 직후~30분	해당 금융사에 지급정지 요청, 112 신고	돈이 더 이동하기 전에 막는 것이 최우선
당일	통신사·금융사에 명의도용 사실 알리기, 노출자 등록·안심차단, 낯선 앱 삭제	추가 개설·인증 시도를 차단
1주 안	어카운트인포·엠세이퍼 재조회, 문자·통화·거래 기록 정리, 피해 접수	모르는 계좌·회선 확인과 보상 근거 확보

12. 소문 vs 사실: 오해 바로잡기

퍼진 말	판정	10월 4일 기준 확인된 내용
은행 고객이면 내 정보도 털렸다	✕	확인된 피해는 사고별 수십 명~수만 명이며 대상 여부는 개별 확인이 필요
일반 뱅킹 앱이 해킹됐다	✕	신한·KB·하나는 모집인·직원용 업무 시스템이 뚫린 것으로 보도됨
현대캐피탈 고객 대출정보가 나갔다	✕	회사 발표는 모집인 146명 정보이며 일반 고객 정보 유출은 없었다는 것
비밀번호까지 유출됐다	확인 안 됨	공개된 항목에 계좌 비밀번호·OTP가 포함됐다는 발표는 없음
이미 유출 정보로 큰 피해가 났다	확인 안 됨	4일 회의 보도 기준 민감정보 악용 정황은 아직 없고, 2차 피해 차단이 과제
AI 해킹이 확정이다	△	AI 공격 가능성을 배제하지 않는 단계로 조사 중

13. 자주 묻는 질문

Q. 'AI 해킹'은 확정된 사실인가요?

현대캐피탈은 AI를 활용한 정보 조회 공격이라고 설명했고, 신한은행 사건 등에서도 AI 활용 정황이 거론됩니다. 다만 개별 사고에서 AI가 어느 수준까지 쓰였는지는 금융당국 조사가 진행 중입니다.

Q. 은행 앱 비밀번호를 지금 전부 바꿔야 하나요?

공개된 유출 항목에 계좌 비밀번호나 OTP가 포함됐다는 발표는 없습니다. 다만 수상한 사이트에 입력했거나 여러 서비스에 같은 비밀번호를 쓰고 있다면 바꾸는 편이 안전합니다.

Q. 내가 유출 대상인지 어떻게 아나요?

각 금융사가 대상 고객에게 개별 통지하거나 공식 홈페이지·앱에 조회 방법을 공지합니다. 문자 속 링크 대신 공식 앱이나 직접 입력한 공식 주소로 확인하세요.

14. 가족 점검법과 월 1회 5분 루틴

대상	먼저 할 일	주의할 점
부모님	어카운트인포·엠세이퍼 조회를 옆에 앉아 함께 진행	본인 인증이 필요하니 대신 처리하지 말고, 원격제어 앱 설치 요구는 무조건 거절하도록 알려 주기
사회초년생 자녀	첫 대출·전세대출 전에 조회와 노출자 등록 검토	SNS·문자로 오는 모르는 모집인의 대출 권유 경계
자영업·프리랜서	대출 상담 접점이 많으니 월 1회 정기 조회	상담 과정에서 건넨 서류·번호를 어디에 줬는지 기록

매월 첫 주말	5분 루틴
1분	어카운트인포에서 모르는 계좌·대출이 없는지 확인
1분	엠세이퍼에서 모르는 휴대폰 회선이 없는지 확인
1분	안심차단 상태가 앞으로의 대출·카드 계획과 맞는지 점검
2분	의심 문자 삭제, 낯선 앱·원격제어 앱이 없는지 점검

15. 오늘 바로 쓰는 체크리스트

☐ 내가 거래하는 금융사의 유출 공지를 공식 경로로 확인했다

☐ 어카운트인포에서 내 명의 계좌·대출을 훑어봤다

☐ 엠세이퍼에서 모르는 휴대폰 회선이 없는지 확인했다

☐ 대출·카드 계획에 맞춰 안심차단 여부를 정했다

☐ 문자 속 링크는 누르지 않고 공식 앱으로 확인하기로 했다

☐ 모르는 거래가 보이면 지급정지 요청과 112 신고부터 하기로 했다

16. 10월 8일 국감에서 지켜볼 3가지 (필자 관전 포인트)

관전 포인트	왜 보나	내게 미칠 영향
외부 접근 차단의 이행	당국은 업무상 필수가 아니면 외부 접근을 원칙적으로 막고 접근권한·조회 정보를 최소화하라고 지시	모집인 조회 방식이 바뀌어 대출 상담 절차가 달라질 수 있음 (필자 예상)
통지·보상 기준	신한·하나는 피해 시 전액 보상을 밝혔지만 다른 금융사 기준은 제각각	피해가 났을 때 받을 수 있는 보상 범위
공격 정보 공유와 AI 방어	당국은 공격 IP·수법을 금융사와 신속 공유하고 'AI 공격은 AI로 방어'하겠다는 방침	같은 수법의 반복 피해 감소 여부

마치며: 불안은 줄이고, 확인은 늘리자

이번 사고를 보며 가장 아쉬운 점은 정보를 맡기는 쪽에서는 모집인 시스템이라는 경로를 알기 어렵다는 것입니다. 그래서 개인이 할 수 있는 현실적인 대응은 내 명의 현황을 정기적으로 조회하고, 필요한 만큼만 차단하고, 사칭 연락에 흔들리지 않는 것입니다. 오늘 5분을 쓰면 다음 사고 뉴스가 나와도 훨씬 덜 불안해집니다.

작성 기준 2026년 10월 4일 저녁 보도(금융위 긴급 점검회의 결과 반영). 조사 진행에 따라 수치와 내용이 달라질 수 있으며, 점수표·위험도 별점·비용 계산·가상 사례는 필자가 만든 참고 자료입니다.

참고 자료 MBC·머니투데이·파이낸셜뉴스·헤럴드경제·한국일보·이투데이·비즈한국·보안뉴스·뉴데일리·뉴스1·디지털타임스 보도, KISA 보안 강화 권고 관련 보도, 금융감독원 개인정보노출자 사고예방시스템, 금융결제원 어카운트인포, 엠세이퍼, 올크레딧 안내

안내 이 글은 일반 정보 제공이 목적이며 개별 금융 상담이나 법률 자문이 아닙니다. 필자는 금융 전문가가 아닙니다.