[현대캐피탈] AI 활용 반복 조회 공격으로 주택대출 모집인 146명 주민번호 등 6개 항목 유출…공개 조회 페이지서 비공개 정보까지 노출_2026년 10월

현대캐피탈의 주택대출 모집인 조회 페이지가 해외 IP를 통한 AI 활용 반복 정보조회 공격을 받아 모집인 146명의 개인정보가 유출됐다. 공개용 웹페이지였지만 일반에 공개되지 않는 주민등록번호와 내부 모집인번호까지 함께 빠져나가, 은행·저축은행에 이어 캐피탈사까지 금융권 해킹 도미노가 이어졌다.

□  개요 

   현대캐피탈은 2026년 10월 2일 오후 5시 8분경 해외 IP를 통해 주택대출 모집인 조회 페이지가 반복적인 정보조회 공격을 받은 사실을 확인했다고 3일 밝혔다.
    현대캐피탈은 금융권 해킹 피해 확산에 따라 자체 보안점검을 하던 중 이상 접근을 포착했다. 공격 대상은 고객이 현대캐피탈 주택대출 모집인의 공개 정보를 확인하는 웹페이지였다. 이 공격으로 모집인 146명의 이름, 휴대전화번호, 이메일, 여신금융협회 등록번호 등 공개 정보뿐 아니라 외부에 공개되지 않는 내부 모집인번호와 주민등록번호까지 유출됐다. 일반 고객의 개인정보 유출이나 내부 시스템 접근·공격은 없었다는 것이 회사 측 설명이다.
    현대캐피탈은 유출 확인 직후 공격 IP와 해당 페이지를 차단하고 사고대응 TFT를 구성했으며, 금융감독원과 한국인터넷진흥원(KISA)에 신고했다. 정보가 유출된 모집인들에게 사실을 안내하고, 외부에 공개된 모든 웹페이지를 조사하며 실시간 모니터링을 하고 있다. 신한·KB국민·하나·BNK부산은행과 예가람저축은행에 이어 캐피탈사까지 피해가 확인되면서, 금융당국은 외부에서 접속할 수 있는 금융권 전산시스템 전반에 대한 점검에 착수했다.

 

□  사고내용 요약  

    1. 회사명 : 현대캐피탈
    2. 사고유형
        - 해외 IP를 통한 AI 활용 반복 정보조회 공격(공개 웹페이지 대상)
        - 주택대출 모집인 조회 페이지에서 비공개 정보(주민등록번호·내부 모집인번호)까지 노출·유출
        - 일반 고객 정보 유출 및 내부 시스템 침입은 없음(회사 측 설명)
    3. 유출규모
        - 주택대출 모집인 146명
    4. 유출항목(총 6개)
        - (공개 정보) 이름, 휴대전화번호, 이메일 주소, 여신금융협회 등록번호
        - (비공개 정보) 주민등록번호, 내부 관리용 모집인번호

    5. 특이사항
        - 공격 대상이 누구나 접근 가능한 공개 조회 페이지였지만, 화면에 표시되지 않는 주민등록번호·내부번호까지 응답에 포함돼 유출로 이어진 것으로 보임
        - 해외 IP에서 AI를 활용한 반복 정보조회로 모집인 정보를 대량 수집한 방식으로, 로그인·인증 우회 없이도 공개 페이지 조회만으로 민감정보를 확보할 수 있었음
        - 금융권 연쇄 사고를 계기로 한 자체 보안점검에서 발견했으며, 확인 다음 날 공개·신고하는 등 대응은 빨랐음
        - 신한은행(대출모집인 서비스)에 이어 대출모집인 관련 시스템이 다시 표적이 돼, 금융사의 모집인·외부 채널 정보 관리가 공통 취약 지점으로 드러남
        - 은행(신한·KB국민·하나·부산), 저축은행(예가람)에 이어 캐피탈사(여신전문금융회사)까지 피해가 확인돼 금융권 전방위로 공격이 확산됨

□  사고대응 타임라인  

    - 2026년 10월 02일
        . 금융권 해킹 확산에 따른 자체 보안점검 진행
        . 17:08경 해외 IP를 통한 주택대출 모집인 조회 페이지 반복 정보조회 공격 확인
        . 공격 IP 및 해당 페이지 차단, 사고대응 TFT 구성
    - 2026년 10월 03일
        . 현대캐피탈, 주택대출 모집인 146명 개인정보 유출 사실 공개
        . 금융감독원 및 한국인터넷진흥원(KISA) 신고, 유출 모집인 대상 안내
    - 진행 중
        . 외부 공개 전체 웹페이지 조사 및 실시간 모니터링
        . 금융당국, 외부 접속 가능 금융권 전산시스템 전면 점검

□  개인정보 유출 관련 홈페이지 안내  

현대캐피탈 주택대출 모집인 개인정보 유출 관련 발표 (보도 기준 요지)

- 2026년 10월 2일 오후 5시 8분경 해외 IP를 통한 현대캐피탈 주택대출 모집인 조회 페이지 공격 사실 확인
- 금융권 해킹 피해 확산에 따른 보안점검 과정에서 반복적인 정보조회 공격 확인
- 유출 대상: 주택대출 모집인 146명
- 유출 항목: 주민등록번호, 내부 관리용 모집인번호, 이름, 휴대전화번호, 이메일 주소, 여신금융협회 등록번호
- 일반 고객의 개인정보 유출이나 내부 시스템에 대한 접근 및 공격은 이뤄지지 않음

조치 사항
- 공격 IP 및 해당 페이지 차단
- 사고대응 TFT 즉시 구성
- 금융감독원 및 한국인터넷진흥원(KISA) 신고

"당사는 정보가 유출된 주택대출 모집인들에게 해당 사실을 신속하게 안내하고 외부에 공개되는 모든 웹페이지에 대한 면밀한 조사를 진행 중이며, 모든 웹페이지에 대한 실시간 모니터링을 지속적으로 운영하고 있습니다."

※ 피해 대상이 고객이 아닌 모집인으로, 별도 홈페이지 공지는 확인되지 않음

□  대응내역  

    - (현대캐피탈) 공격 IP 및 주택대출 모집인 조회 페이지 차단
    - (현대캐피탈) 사고대응 TFT 구성 및 추가 피해 여부 확인
    - (현대캐피탈) 금융감독원·한국인터넷진흥원(KISA) 신고
    - (현대캐피탈) 유출 대상 주택대출 모집인 146명 대상 사실 안내
    - (현대캐피탈) 외부 공개 전체 웹페이지 조사 및 실시간 모니터링 운영
    - (금융당국) 외부 접속 가능 금융권 전산시스템 전면 점검
     ※ 비공개 정보가 조회 페이지 응답에 포함된 구체적 원인은 공개되지 않음

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 공개 조회 페이지·API는 공개 대상 필드만 서버 측에서 선별해 응답(주민번호 등 비공개 필드 원천 배제)
        - 조회 페이지에 요청 속도 제한, CAPTCHA, 봇 탐지 적용으로 AI·자동화 대량 조회 차단
        - 해외 IP 등 비정상 접근에 대한 지역 기반 접근 제어 및 실시간 이상 조회 탐지
        - 외부 공개 웹자산 전수 식별(ASM) 및 응답 데이터 기준 개인정보 노출 정기 점검

    2. 관리적 조치
        - 모집인 등 외부 채널 정보의 공개 범위 재정의 및 공개 시스템과 내부 관리 DB 분리
        - 신규·변경 웹페이지 배포 전 보안성 검토에 '과다 응답 데이터' 점검 항목 필수화
        - 유출 모집인 대상 명의도용 방지 서비스 안내 및 사칭 연락 주의 안내
        - 금융권 공통 공격 IP·수법 공유 및 업권 공동 대응 체계 참여

□  관련기사(출처)  

• 현대캐피탈도 해킹 확인…주택대출 모집인 146명 정보 유출 - 연합인포맥스
• 현대캐피탈도 뚫렸다…AI 해킹에 주민번호까지 유출 - 이데일리
• 은행 뚫고 저축은행·캐피탈까지 … 금융권 덮친 '해킹 도미노' - 뉴데일리
• 현대캐피탈도 해킹 피해…2금융권까지 전방위 확산 - 서울경제
• 현대캐피탈, AI 활용 해킹…주택대출 모집인 정보 유출 - 서울경제TV

감사합니다.