SecurityHeroblog
보안 상식9조회

신한은행 대출 정보 유출, 내 소득을 아는 전화일수록 다시 걸기

신한은행에서 대출을 알아본 약 2만 5천 명의 이름·전화번호·연소득·대출 한도가 새어 나갔다고 보도됐습니다. 상대가 내 정보를 정확히 안다고 해서 은행 직원이라는 증거가 되지는 않습니다. 지금 할 일 두 가지와 아직 모르는 것을 정리했습니다.

인터폰 너머의 목소리

저녁에 아파트 인터폰이 울립니다.

“302호 김○○님 맞으시죠? 관리사무소입니다. 지난달 관리비가 ○○만 원 나오셨는데, 정산할 게 있어서요. 잠깐 문 좀 열어 주시겠어요?”

이름이 맞습니다. 호수도 맞습니다. 관리비 액수까지 맞습니다. 이쯤 되면 대부분 문을 엽니다.

그런데 한 가지만 바꿔 보겠습니다. 그 달 관리비 고지서 뭉치가 통째로 밖으로 새어 나갔다면요? 고지서를 손에 든 사람은 누구든 똑같이 말할 수 있습니다. 내 이름과 액수를 아는 건 이제 관리사무소 직원이라는 증거가 되지 못합니다.

오늘 신한은행에서 이런 ’고지서’가 샜다는 보도가 나왔습니다.

무엇이 새어 나갔나

사실 신한은행에서 대출 관련 고객 정보가 밖으로 나갔다고 보도됐습니다. 은행이 밝힌 규모는 약 2만 5천 명입니다.

사실 나간 항목은 이렇게 보도됐습니다.

항목 쉽게 말하면
이름 나를 부를 수 있다
전화번호 나에게 걸 수 있다
CI(연계정보) 여러 서비스에서 ’이 사람이 같은 사람’인지 맞춰 볼 때 쓰는 개인별 식별값
연소득 내가 1년에 버는 돈
산출된 대출 한도 은행이 계산해 준 “이만큼까지 빌릴 수 있어요” 금액

대상은 신한은행 웹에서 대출 한도를 간편하게 조회했거나, 대출을 신청·상담한 사람들입니다. 그중 은행이 유출 대상으로 확인한 사람들입니다.

사실 고객이 로그인해서 쓰는 일반 인터넷·모바일 뱅킹이 뚫린 건 아니라고 보도됐습니다. 내 통장 잔액이나 이체 화면이 넘어간 사건은 아니라는 뜻입니다.

인터폰 비유로 돌아가면 이렇습니다. 현관 열쇠를 도둑맞은 게 아닙니다. 관리비 고지서가 샌 겁니다. 문은 아직 잠겨 있습니다. 다만 밖에 있는 누군가가 이제 나를 아주 잘 아는 척할 수 있게 됐습니다.

그래서 어떤 전화가 올 수 있나

추정 아래는 우리가 걱정하는 장면입니다. 실제로 이런 전화가 왔다는 보도는 오늘까지 없습니다.

모르는 번호로 전화가 옵니다. “신한은행 대출 상담팀”이라고 합니다. 내 이름을 부릅니다. 내가 전에 조회했던 대출 한도를 정확히 말합니다. 그러고는 이렇게 이어갑니다. “더 낮은 금리로 갈아타실 수 있어요. 그러려면 이 앱을 먼저 설치하시고요.” 또는 “기존 대출을 먼저 이 계좌로 갚으셔야 해요.”

추정 이 장면이 무서운 이유는 거짓말이 하나도 섞여 있지 않은 것처럼 들리기 때문입니다. 이름, 전화번호, 소득, 한도. 넷 다 진짜입니다. 사람은 상대가 나에 대해 맞는 말을 여러 번 하면 그 사람을 믿게 됩니다. 인터폰에서 관리비 액수를 듣고 문을 여는 것과 같습니다.

왜 통하는가 — 그리고 어디서 틀어지는가

사실 진짜 은행은 전화나 문자로 앱 설치를 시키지 않습니다. 기존 대출을 개인 계좌로 갚으라고 하지도 않습니다.

여기가 핵심입니다. 상대가 얼마나 많이 아는가는 이제 아무것도 증명하지 못합니다. 고지서가 샌 날에는 고지서 내용을 줄줄 읊는 사람이 오히려 더 수상할 수 있습니다.

그럼 무엇을 봐야 할까요. 누가 먼저 걸었는가입니다. 인터폰이 울렸을 때 문을 여는 대신, 내가 관리사무소에 직접 전화하면 됩니다. 관리사무소 번호는 내가 이미 알고 있습니다. 그 번호로 건 전화에서 받는 사람은 진짜입니다.

어떻게 새어 나갔나

사실 공격 방법으로 크리덴셜 스터핑이 거론됐다고 보도됐습니다. 다만 확정되지 않았습니다.

크리덴셜 스터핑을 쉽게 말하면 이렇습니다. 다른 사이트에서 이미 새어 나간 아이디와 비밀번호를 가져옵니다. 그걸 이 사이트, 저 사이트에 하나씩 넣어 봅니다. 같은 비밀번호를 여러 곳에 쓰는 사람이 많아서, 그중 일부는 열립니다.

사실 유출된 곳이 어디인지는 보도마다 표현이 다릅니다. ’대출 관련 웹 간편 조회 서비스’라는 보도가 있습니다. ’대출모집인이 쓰는 별도 업무 시스템’이라는 보도도 있습니다. 대출모집인은 은행 대신 대출 고객을 모아 오는 사람입니다.

추정 크리덴셜 스터핑이 맞다면, 문제의 출발점은 신한은행 밖일 수 있습니다. 다른 곳에서 털린 비밀번호가 여기서 열쇠로 쓰였다는 뜻이니까요. 그래서 할 일 목록에 비밀번호가 들어갑니다. 누구의 계정이 쓰였는지(고객인지, 대출모집인인지)는 아직 알려지지 않았습니다.

숫자로 본 규모

이 사건에서 보도된 숫자는 둘뿐입니다. 서로 견줘 보면 뜻이 보입니다.

숫자 언제·누가 뜻
2만 건 안팎 초기 보도 처음 알려진 규모
약 2만 5천 명 은행 발표 기준 지금까지 확인한 유출 대상. 조사에 따라 늘 수 있다고 보도됨

사실 같은 날 안에서도 숫자가 한 번 커졌습니다. 초기 보도보다 은행 발표가 약 5천 명 더 많습니다. 그리고 더 늘 수 있다고 했습니다. 지금 숫자는 확정값이 아니라 중간 집계로 읽는 게 맞습니다.

추정 한 가지는 꼭 구분해 두세요. 2만 5천은 정보가 나간 사람의 수입니다. 돈을 잃은 사람의 수가 아닙니다. 피해가 났다는 보도는 아직 없습니다. 고지서가 샌 집이 2만 5천 곳이라는 뜻이지, 문이 열린 집이 2만 5천 곳이라는 뜻은 아닙니다.

은행과 당국은 뭘 했나

사실 보도에 따르면 은행은 9월 30일에 유출을 파악했습니다. 금융감독원은 긴급 현장조사에 들어갔습니다. 금융위원회와 금감원은 10월 1일 회의를 열었습니다.

사실 은행은 외부 IP를 차단하고, 해당 서비스를 멈추고, 새 보안 정책을 적용했다고 밝혔습니다. IP는 인터넷에서 쓰는 주소입니다. 문제의 접속이 오던 주소들을 막았다는 뜻입니다.

사실 정상혁 신한은행장이 사과했습니다. 유출 때문에 생긴 고객 손해는 전액 보상하겠다고 약속했다고 보도됐습니다.

내가 지금 할 일

신한은행에서 대출 한도를 조회하거나 대출을 알아본 적이 있다면, 내가 2만 5천 명 안에 있을 수 있습니다. 확인될 때까지는 들어 있다고 치고 움직이는 편이 낫습니다.

1. 대출 이야기로 전화가 오면 일단 끊는다. 그리고 신한은행 앱이나 공식 대표번호로 내가 직접 다시 겁니다. 인터폰이 울리면 문 대신 관리사무소 전화기를 드는 겁니다. 상대가 내 이름·소득·한도를 정확히 말해도 마찬가지입니다. 오히려 그럴수록 더 그렇습니다.

2. 은행·금융 사이트 비밀번호가 다른 사이트와 같다면 지금 바꾼다. 이번 수법으로 거론된 것이 ’다른 데서 털린 비밀번호 넣어 보기’입니다. 같은 비밀번호를 쓰는 동안은 다른 사이트의 유출이 내 은행 문 앞까지 따라옵니다.

기억할 기준은 하나입니다. 걸려 온 전화가 아니라 내가 건 전화만 믿는다.

우리가 모르는 것

아래는 오늘(10월 1일) 기준으로 확인되지 않은 것들입니다. 우리는 이것들을 짐작으로 채우지 않습니다.

  • 실제로 사기에 쓰였는지. 유출된 정보가 대출 사기나 보이스피싱에 쓰였다는 보도도, 당국의 경고도 아직 없습니다. 위의 전화 장면은 우려입니다.
  • 주민등록번호가 들어갔는지. 해당 시스템에 주민번호가 ’담겨 있었다’는 보도가 있습니다. 하지만 유출 항목을 나열한 보도에는 주민번호가 없습니다. 우리는 들어갔다고도, 안 들어갔다고도 말하지 않습니다.
  • 어디가 뚫렸는지. 대출모집인 업무 시스템인지, 고객용 간편 조회 서비스인지 보도마다 다릅니다.
  • 누구의 계정이 쓰였는지. 크리덴셜 스터핑이었다면 고객 계정인지 대출모집인 계정인지 알려지지 않았습니다. 수법 자체도 아직 확정이 아닙니다.
  • 언제부터 언제까지였는지. 유출이 일어난 기간이 알려지지 않았습니다.
  • 나에게 연락이 오는지. 피해자에게 개별 통지를 하는지, 한다면 언제 어떤 방식인지 알려지지 않았습니다.
  • 보상을 어떻게 받는지. ’전액 보상’의 구체적인 방법과 신청 절차가 나오지 않았습니다.
  • 규모가 확정인지. 2만 건 안팎과 약 2만 5천 명, 두 숫자가 보도됐습니다. 조사 결과에 따라 늘 수 있습니다.
  • 공격 주체. 누가 했는지에 대한 보도는 없습니다. 우리도 추정하지 않습니다.

이 글은 언론 보도만을 바탕으로 썼습니다. 신한은행 공지 원문과 금융당국 보도자료 같은 1차 자료는 확인하지 못했습니다. 유출 규모·경로·주민번호 포함 여부는 보도끼리 어긋나며, 사기 악용 사례는 확인되지 않았습니다.

출처

1차 출처(신한은행 공지·사과문 원문, 금융감독원·금융위원회 보도자료)는 확보하지 못했습니다. 아래는 모두 언론 보도입니다.

기준일 2026-10-01. 이 글은 우리 허니팟 관측이 아니라 언론 보도를 다시 정리한 뉴스편입니다. 그래서 공격 타임라인·MITRE·IOC 블록과 IP·자격증명 인용이 없습니다. 기사 문장은 옮기지 않고 사실만 우리 말로 다시 썼습니다. 숫자는 보도된 두 값만 썼습니다. 전화 장면은 유출 항목을 보고 우리가 짐작한 우려이며, 보도된 사례가 아닙니다.