[OK저축은행] 대출신청 이어 모바일 수신서비스까지 연속 해킹…고객 518명 계좌번호·잔액·연소득 등 14개 항목 유출_2026년 10월

OK저축은행이 10월 12일 대출신청 웹페이지 해킹(고객 250명 유출)에 긴급 대응한 지 사흘 만인 10월 15일, 모바일 수신서비스 페이지에서도 해킹 공격을 받아 고객 268명의 계좌번호·잔액·이율 등이 추가로 유출됐습니다. 누적 피해 고객은 518명이며, 2차 공격에는 금융보안원이 미리 공유한 의심 IP와 다른 새로운 IP가 쓰였습니다.

□  개요 

   OK저축은행은 2026년 10월 16일, 1차 사고 이후 시스템 전반을 재점검하던 중 모바일 수신서비스 관련 홈페이지에서 고객 268명의 정보가 추가로 유출된 사실을 확인했다고 밝혔습니다.
    1차 사고는 10월 11일 오후 8시 44분께부터 12일 오전 2시 14분까지 홈페이지 대출신청 웹페이지에서 일어났습니다. 처음에는 183명으로 알려졌으나, 외부 보안 관제업체 2곳과 정밀 조사한 결과 250명으로 늘었습니다. 이름, 생년월일, 휴대폰번호, 계좌번호, 주소, 이메일, 직장명, 사업자번호, 연소득, 대출금액이 유출됐습니다.
    2차 사고는 10월 15일 오전 3시 32분부터 7시 34분까지 약 4시간 동안 모바일 수신서비스 페이지에 대한 비정상 접속으로 일어났고, 고객 268명의 이름, 계좌번호, 상품명, 잔액, 이율, 최종 거래일이 빠져나갔습니다. 회사는 같은 날 오전 10시 유출을 확인해 의심 IP 차단, 계좌조회 방어 로직 패치, 이상행위 탐지·차단 솔루션 적용 등을 마쳤습니다. 금융감독원에 전자금융사고로 신고하고 피해 고객에게 문자와 이메일로 개별 통지했습니다. 금감원은 고강도 현장 검사에 나설 방침입니다.

 

□  사고내용 요약  

    1. 회사명 : OK저축은행
    2. 사고유형
        - 홈페이지 대출신청 페이지(1차)와 모바일 수신서비스 페이지(2차)에 대한 비정상 접속(해킹)으로 고객정보 연속 유출
    3. 유출규모
        - 누적 고객 518명(1차 대출신청 250명 + 2차 모바일 수신서비스 268명)
    4. 유출항목(총 14개)
        - [1차 · 대출신청 250명] 신원·연락처 : 이름, 생년월일, 휴대폰번호, 주소, 이메일
        - [1차 · 대출신청 250명] 직업·재정 : 계좌번호, 직장명, 사업자번호, 연소득, 대출금액
        - [2차 · 수신서비스 268명] 이름, 계좌번호, 상품명, 잔액, 이율, 최종 거래일

    5. 특이사항
        - 1차 사고에 긴급 대응한 지 사흘 만에 다른 서비스(모바일 수신서비스)가 다시 뚫려, 1차 조치가 서비스 전반이 아닌 해당 페이지에 한정됐던 것 아니냐는 지적이 나옴
        - 2차 공격에는 금융보안원이 사전에 공유한 의심 IP와 다른 새로운 IP가 쓰여, IP 차단만으로는 막기 어렵다는 점이 드러남
        - 1차 피해 규모는 처음 알려진 183명에서 250명으로 늘었고, 1차 공격은 시작 후 약 8시간 뒤에야 인지된 것으로 보도됨(글로벌이코노믹)
        - 두 사고 모두 새벽 시간대(1차 오후 8시 44분~새벽 2시 14분, 2차 새벽 3시 32분~7시 34분)에 집중됨
        - 1차에서는 연소득·대출금액·직장명, 2차에서는 예금 잔액·이율·상품명이 유출되어, 고객의 금융 상황을 아는 척하는 맞춤형 대출 사기·보이스피싱 위험이 큼
        - 회사는 보안 조치 이후 신규 비정상 접근은 없다고 밝힘
        - 금융감독원은 유출 경위, 초기 대응의 적정성, 내부통제·보안 시스템 구축 의무 위반 여부를 보기 위해 고강도 현장 검사에 착수할 방침

□  사고대응 타임라인  

    - 2026년 10월 11일 20:44 ~ 12일 02:14
        . [1차] 홈페이지 대출신청 웹페이지 비정상 접속, 고객정보 유출
    - 2026년 10월 12일
        . [1차] 비인가자 접근 탐지, 정보조회시스템 차단, 금융당국 보고
    - 2026년 10월 13일
        . [1차] 언론 보도(고객 183명 유출 정황)
    - 2026년 10월 12~15일
        . [1차] 외부 보안 관제업체 2곳과 정밀 조사 → 피해 고객 250명으로 확대 확인
        . 의심 IP·접속 경로 차단, 수신·뱅킹 등 시스템 전반 재점검
    - 2026년 10월 15일
        . 03:32~07:34 [2차] 모바일 수신서비스 페이지 비정상 접속(약 4시간 2분), 고객 268명 정보 유출
        . 10:00 추가 유출 확인
        . 10:59 해킹 의심 IP·접속 경로 차단
        . 13:52 계좌조회서비스 방어 로직 긴급 반영
        . 17:10 세션관리 공통 방어 로직 추가
        . 20:00 이상행위 탐지·차단 솔루션 적용
        . 21:55 금융감독원에 전자금융사고 신고
    - 2026년 10월 16일
        . 08:52 피해 고객 문자·이메일 개별 통지 완료
        . 추가 유출 사실 공개 및 사과, 언론 보도
    - 진행 중
        . 금융감독원 고강도 현장 검사 예정, 피해 접수·민원 상담 창구 운영 예정

□  개인정보 유출 관련 홈페이지 안내  

OK저축은행 입장(언론 보도 기준)
※ 2026년 10월 16일 기준 OK저축은행 홈페이지의 공식 안내 공지 원문은 확인되지 않았습니다.

- "지난 12일 최초 유출 현황 인지 후 긴급 대응을 마쳤으나, 시스템 전반에 대한 재점검을 수행하는 과정에서 추가 유출 사실을 확인하게 됐다."
- "당사를 믿어주신 고객 여러분들께 다시 한번 심려를 끼쳐드린 점 거듭 깊이 사과드린다."

조치 사항
- 의심 IP 및 접속 경로 차단, 계좌조회서비스 방어 로직 패치, 세션관리 공통 방어 로직 추가, 이상행위 탐지·차단 솔루션 적용
- 금융감독원 전자금융사고 신고, 피해 고객 문자·이메일 개별 통지
- 2차 피해 예방 가이드 제공, 피해 접수 및 민원 상담 창구 운영 예정
- 보안 조치 이후 신규 비정상 접근은 없는 상태

 

□  대응내역  

    - (OK저축은행) [1차] 10월 12일 대출신청 페이지 비인가 접근 탐지, 정보조회시스템 차단, 금융당국 보고
    - (OK저축은행) [1차] 외부 보안 관제업체 2곳과 정밀 조사, 피해 고객 250명 확인
    - (OK저축은행) [2차] 10월 15일 의심 IP·접속 경로 차단, 계좌조회 방어 로직·세션관리 방어 로직 반영, 이상행위 탐지·차단 솔루션 적용
    - (OK저축은행) [2차] 10월 15일 금융감독원 전자금융사고 신고, 16일 피해 고객 268명 문자·이메일 개별 통지
    - (OK저축은행) 2차 피해 예방 안내, 피해 접수·민원 상담 창구 운영 예정
    - (금융감독원) 유출 경위, 초기 대응 적정성, 내부통제·보안 의무 위반 여부 고강도 현장 검사 착수 방침
     ※ 공격 기법·취약점 내용, 1차 피해 고객 개별 통지 시점, 2차 공격 IP의 국가·수, 보상 방안, 홈페이지 공지 원문은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 사고가 난 페이지만이 아니라 대출·수신·뱅킹 등 모든 조회 기능과 API의 인증·권한 검증(타인 정보 조회 차단, IDOR 방지)을 한 번에 점검
        - IP 차단에 의존하지 말고, 요청 패턴·세션 이상 등 행위 기반 탐지로 AI·자동화 공격 차단
        - 계좌번호·잔액·연소득 등 금융정보는 응답·화면에서 마스킹하고 필요한 항목만 제공
        - 야간·새벽 시간대 대량 조회에 대한 실시간 알림과 자동 차단(호출량 제한) 적용

    2. 관리적 조치
        - 1차 사고 직후 유사 구조의 서비스 전체를 우선 점검 대상으로 정하는 사고 대응 절차 마련
        - 24시간 보안관제 인력과 탐지 체계 보강, 금융보안원 위협정보 실시간 반영
        - 대출 상담·신청 정보 등 목적이 끝난 정보의 보유 기간을 정하고 파기
        - 이용자 피해 예방 : 저축은행을 사칭한 대출 권유·대환대출·예금 이율 안내 전화·문자의 링크·앱 설치·송금 요구에 응하지 않기, 금융감독원 '개인정보노출자 사고예방시스템(pd.fss.or.kr)' 등록, '계좌정보 통합관리 서비스(어카운트인포)'와 '비대면 계좌개설·여신거래 안심차단 서비스(payinfo.or.kr)' 활용

□  관련기사(출처)  

• 막았는데 또 뚫린 OK저축은행…사흘 새 518명 해킹 피해 - 신아일보
• 보안 ‘노 OK’…OK저축은행 또 털려 268명 정보 유출 - 국민일보
• OK저축은행 또 해킹… 대출·계좌 잔액·이율 고객정보 잇단 유출 - 글로벌이코노믹
• OK저축은행, 긴급대응 사흘 만에 또 해킹...고객 268명 정보 유출 - 파이낸셜뉴스
• OK저축은행, 대출 이어 수신서비스도 뚫렸다…268명 정보 추가 유출 - 이투데이

감사합니다.