[산은캐피탈] 외부 비정상 접근 경로로 일부 시스템 침입…고객 848명 성명·주민등록번호·생년월일 유출_2026년 10월

산은캐피탈이 2026년 10월 12일 외부의 비정상적인 접근 경로를 통한 일부 시스템 접속을 확인했고, 이 과정에서 고객 848명의 성명·주민등록번호·생년월일이 유출됐습니다. 회사는 불법 접속 경로를 즉시 차단하고 전사적 비상대응 체계를 가동했으며, 개별 연락이 가능한 고객에게 통지한 뒤 10월 14일 홈페이지에 사과문을 게시했습니다.

□  개요 

   산은캐피탈은 2026년 10월 14일 홈페이지에 '개인정보 유출 안내 및 사과 말씀'을 게시하고, 외부 비정상 접근으로 고객 848명의 개인정보가 유출됐다고 알렸습니다.
    회사에 따르면 10월 12일 외부의 비정상적인 접근 경로로 일부 시스템에 접속한 사실이 확인됐습니다. 유출된 정보는 성명, 주민등록번호, 생년월일 3개 항목입니다. 회사는 인지 즉시 해당 IP 등 불법 접속 경로를 차단하고 비정상 접근 모니터링을 강화하는 등 전사적 비상대응 체계를 가동했습니다. 유출 고객 중 개별 연락이 가능한 고객에게는 통지를 마쳤습니다.
    회사는 명의도용·보이스피싱·스미싱 등 2차 피해에 주의해 달라며, 특히 회사나 차량판매사를 사칭한 연락에 유의하고 공식 고객센터(1899-6114) 외의 연락에는 응하지 말라고 당부했습니다. 금융위원회와 금융감독원도 같은 날 '제2차 긴급 상황대응 회의'에서 산은캐피탈을 금융권 AI 해킹 사고와 관련해 침해가 새로 확인된 금융사로 발표했습니다.

 

□  사고내용 요약  

    1. 회사명 : 산은캐피탈
    2. 사고유형
        - 외부의 비정상적인 접근 경로를 통한 일부 시스템 접속(해킹) 및 고객 개인정보 유출
    3. 유출규모
        - 고객 848명(현재까지 확인 기준)
    4. 유출항목(총 3개)
        - 신원정보 : 성명, 생년월일
        - 고유식별정보 : 주민등록번호

    5. 특이사항
        - 유출 항목은 3개로 적지만 주민등록번호가 포함되어, 명의도용·대출 사기·금융기관 사칭 보이스피싱에 악용될 위험이 큼
        - 개별 통지는 연락이 가능한 고객에게만 이뤄져, 연락처가 바뀌었거나 없는 고객은 홈페이지 공지로만 사실을 알 수 있음
        - 자동차 금융 고객이 많은 캐피탈사 특성상 차량판매사(딜러) 사칭 전화·문자에 특히 주의하라고 안내함
        - 공식 연락 창구를 고객센터 1899-6114 하나로 못박아, 그 외 번호의 연락은 의심하라고 당부
        - 회사는 10월 12일 침해를 확인하고 불법 접속 경로를 즉시 차단, 이틀 뒤(10/14) 홈페이지에 공지함
        - 금융당국은 이번 금융권 연쇄 사고를 AI 에이전트를 활용한 해킹으로 보고 있으나, 산은캐피탈 건의 구체적 공격 방식·침입 경로는 공개되지 않음
        - 유출된 주민등록번호의 암호화 여부는 공개되지 않았으며, 계좌번호·카드번호 등 결제정보는 유출 항목에 포함되지 않음

□  사고대응 타임라인  

    - 침입 시점
        . 시점 미공개
    - (참고) 2026년 9월 말 이후
        . 금융권 연쇄 해킹 발생, 금융보안원이 공격자 IP·침입 흔적을 금융회사에 공유
    - 2026년 10월 12일
        . 산은캐피탈, 외부의 비정상적인 접근 경로를 통한 일부 시스템 접속 및 개인정보 유출 확인
        . 해당 IP 등 불법 접속 경로 즉시 차단, 비정상 접근 모니터링 강화 등 전사적 비상대응 체계 가동
    - 2026년 10월 14일
        . 홈페이지에 '개인정보 유출 안내 및 사과 말씀' 게시(대표이사 명의)
        . 금융위원회 '제2차 긴급 상황대응 회의'에서 산은캐피탈 침해사고 추가 확인 발표
    - 시점 미공개
        . 유출 고객 중 개별 연락이 가능한 고객에게 통지
    - 진행 중
        . 고객센터(1899-6114) 피해 접수·상담, 비정상 접근 모니터링

□  개인정보 유출 관련 홈페이지 안내  

개인정보 유출 안내 및 사과 말씀
2026-10-14

산은캐피탈을 이용해주시는 고객님들께

먼저 금번 개인정보 유출로 인해 고객 여러분께 심려를 끼쳐 드리게 되어 진심으로 사과드립니다.

당사는 고객님들의 정보보호를 위해 노력해 왔으나, 2026. 10. 12. 외부의 비정상적인 접근 경로를 통한 당사 일부 시스템에 대한 접속으로 인하여 고객님들의 개인정보가 유출된 사실을 확인하였습니다.

현재까지 확인된 개인정보 유출 규모 및 항목은 고객 848분의 성명, 주민등록번호, 생년월일의 총 3개 항목으로서 유출이 확인된 고객분들 중 개별 연락이 가능한 고객분들께는 관련 통지를 드렸습니다.

당사는 유출 사실을 인지한 즉시 해당 IP 등 불법 접속 경로를 차단하고, 비정상 접근 모니터링 강화 등 전사적 비상대응 체계를 가동하였습니다.

금번 유출 사실을 악용한 명의도용, 보이스피싱, 스미싱 등 2차 피해를 예방하기 위하여 아래와 같이 피해 최소화를 위한 조치를 취하실 수 있음을 안내드리며, 당사의 공식 고객센터 전화번호「1899-6114」이외의 출처가 불명확한 문자 또는 전화에 특별히 유의하여 주시기 부탁드립니다.

■ 피해 최소화를 위한 조치
• 피싱, 스미싱 주의 : 당사 또는 차량판매사를 사칭한 전화·문자에 주의해 주십시오. 당사 공식 번호 1899-6114 외 출처가 불분명한 링크는 누르지 마시고, 개인정보·금융정보 입력 요구에 응하지 마십시오.
• 피싱, 스미싱 신고 : 한국 인터넷 진흥원(118), 전기통신금융사기 통합대응단(1394)
• 명의도용 방지 : 개인정보노출자 등록(pd.fss.or.kr), 비대면 계좌개설·여신거래 안심차단 서비스(payinfo.or.kr)를 이용하실 수 있습니다.

개인정보 악용으로 의심되는 전화, 메일 등을 받으시거나 기타 궁금하신 사항은 아래 연락처를 통해 당사에 연락해 주시기 바랍니다.
- 피해 등 접수 및 상담 : 고객센터 (1899-6114)

금번 개인정보 유출로 인하여 손해를 입으신 경우 개인정보보호법에 따라 아래와 같은 피해 구제절차를 받으실 수 있습니다.
- 손해배상청구 및 법정손해배상청구 : 당사의 법 위반으로 인하여 손해를 받으신 경우 손해배상을 청구하실 수 있고, 당사의 고의·과실로 인한 유출에 대하여는 법정손해배상을 청구하실 수 있습니다.
- 분쟁조정 신청 : 개인정보 침해로 인한 분쟁에 대하여 개인정보 분쟁 조정위원회에 분쟁조정을 신청하실 수 있습니다.(개인정보 분쟁조정 신청 : www.kopico.go.kr , 1833-6972)

다시 한 번 고객님들께 심려를 끼쳐드린 점 깊이 사과드리며, 저희 산은캐피탈은 고객님의 정보보호를 최우선 가치로 삼아 다시는 이런 일이 발생되지 않도록 만전을 기하겠습니다.

산은캐피탈 대표이사 양승원 및 임직원 일동

 

□  대응내역  

    - (산은캐피탈) 10월 12일 외부 비정상 접근 및 개인정보 유출 확인
    - (산은캐피탈) 해당 IP 등 불법 접속 경로 즉시 차단, 비정상 접근 모니터링 강화 등 전사적 비상대응 체계 가동
    - (산은캐피탈) 유출 고객 중 개별 연락이 가능한 고객에게 통지
    - (산은캐피탈) 10월 14일 홈페이지에 대표이사 명의 사과문 게시, 2차 피해 예방·피해 구제 절차 안내
    - (산은캐피탈) 고객센터(1899-6114)를 피해 접수·상담 창구로 운영
    - (금융위원회·금융감독원) 10월 14일 산은캐피탈 침해사고 추가 확인 발표
     ※ 침입 시점·경로, 접속된 시스템 종류, 주민등록번호 암호화 여부, 개별 통지를 받지 못한 고객 수, 관계기관 신고 시점, 별도 보상 방안은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 외부에서 접근 가능한 시스템·API를 전수 목록화하고, 불필요한 접근 경로 폐쇄
        - 조회 기능의 인증·권한 검증(타인 정보 조회 차단) 강화와 호출량 제한 적용
        - 주민등록번호 등 고유식별정보의 암호화 저장과 화면·응답 마스킹 점검
        - 요청 패턴·행위 기반으로 AI·자동화 공격을 탐지하고, 관리자·외부 접속에 다중요소인증(MFA) 적용

    2. 관리적 조치
        - 개별 통지를 받지 못한 고객을 위해 우편 등 추가 통지 수단 마련
        - 대외 서비스 정기 취약점 점검·모의해킹, 최신 보안패치와 노후 시스템 정비
        - 24시간 보안관제 체계 점검, 금융보안원 위협정보 실시간 반영
        - 목적이 끝난 고객정보는 보유 기간에 맞춰 파기하거나 분리 보관
        - 이용자 피해 예방 : 캐피탈·차량판매사를 사칭한 대출 권유·대환대출 전화·문자의 링크·앱 설치 요구에 응하지 않기, 개인정보노출자 등록(pd.fss.or.kr), 비대면 계좌개설·여신거래 안심차단 서비스(payinfo.or.kr) 신청

□  관련기사(출처)  

• 개인정보 유출 안내 및 사과 말씀 - 산은캐피탈
• '고객정보 10만건 유출' 금융사 해킹 사고 16개사 확인...“보안관리 개편 추진”(종합) - 파이낸셜뉴스
• 코인거래소 고팍스도 뚫렸다...16개 금융사서 개인정보 10만건 유출 - 서울경제
• DB저축·산은캐피탈도 해킹…금융권 16곳서 개인정보 10만건 유출 - 디지털데일리

감사합니다.