[미래에셋자산운용] 일부 업무용 웹 시스템 접근권한 검증 취약점 악용…외부인 무단 열람으로 시스템 이용자 정보 유출, 일반 투자자 정보 제외_2026년 10월

미래에셋자산운용의 일부 업무용 웹 시스템에 외부 IP의 비정상 접근이 확인됐다. 정당한 권한이 없는 외부인이 자료를 열람했고, 이 과정에서 업무용 시스템 이용자 정보가 유출됐다. 회사는 접근권한 검증 취약점을 보완하고 외부에서 생성된 계정을 비활성화했다. 개인 고객용 시스템이 아니어서 일반 투자자 정보와 고유식별정보·개인신용정보는 유출되지 않았다고 2026년 10월 28일 밝혔다.

□  개요 

   미래에셋자산운용은 2026년 10월 28일, 최근 일부 웹 시스템에서 외부 IP의 비정상적인 접근 정황을 확인하고 접근 경로를 차단했으며 비상대응체계를 가동했다고 밝혔다.
    회사에 따르면 외부인이 정당한 접근 권한 없이 일부 업무용 시스템의 자료를 열람했고, 이 과정에서 해당 시스템 이용자의 정보가 유출됐다. 유출 범위는 일부 업무용 시스템에 저장된 정보로 한정되며 구체적인 항목은 공개되지 않았다. 서울경제는 일부 임직원 이름 등이 열람됐다고 보도했다. 해당 시스템은 개인 고객용 서비스가 아니어서 일반 투자자 정보는 포함되지 않았다. 주민등록번호·여권번호·운전면허번호·외국인등록번호 같은 고유식별정보와 민감정보, 개인신용정보도 유출되지 않았다고 회사는 설명했다.
    서버나 DB에 직접 침투한 흔적, 악성코드 감염, 서비스 중단, 금전 피해는 없었고 홈페이지 등 주요 시스템은 정상 운영 중이다. 회사는 웹 애플리케이션 방화벽(WAF)으로 해외 접속과 공격 IP를 차단했다. 또 취약 기능을 중단하고, 파일 다운로드와 로그인 요청 횟수를 제한했다. 접근권한 검증 취약점은 보완했고, 외부에서 생성된 계정은 비활성화했다. 금융위원회와 금융감독원에는 침해사고를 보고했고, 외부 보안 전문기관과 원인과 영향 범위를 조사하고 있다. 같은 날 대신증권(고객 3만8,490명 유출)과 빗썸에서도 침해사고가 공개되면서, 은행권에서 시작된 해킹이 금융투자업권으로 번졌다는 평가가 나왔다.

 

□  사고내용 요약  

    1. 회사명 : 미래에셋자산운용
    2. 사고유형
        - 외부 IP의 비정상 접근으로 일부 업무용 웹 시스템 자료를 무단 열람, 이용자 정보 유출
        - 접근권한 검증 취약점 악용. 외부에서 계정을 만들어 권한 없는 자료에 접근한 것으로 보임(Broken Access Control 유형, 추정)
        - 서버·DB 직접 침투, 악성코드 감염은 확인되지 않음(회사 설명)
    3. 유출규모
        - 미공개(일부 업무용 시스템 이용자 정보로 한정, 인원 미공개)

    4. 유출항목
        - 일부 업무용 시스템 이용자 정보(구체적 항목 미공개)
        - 일부 임직원 이름 등 열람(서울경제 보도)
        ※ 유출되지 않은 정보(회사 설명) : 일반 투자자 정보, 고유식별정보(주민등록·여권·운전면허·외국인등록번호), 민감정보, 개인신용정보

    5. 특이사항
        - 조치 내역에 ‘외부에서 생성된 계정 비활성화’, ‘접근권한 검증 취약점 보완’, ‘파일 다운로드·로그인 요청 횟수 제한’이 있음. 외부인이 계정을 만들거나 권한 검증을 우회해 자료를 자동으로 대량 내려받았을 가능성(추정)
        - 은행권 사고(직원용 모바일·영업지원 시스템)와 같이 고객용이 아닌 업무용 웹 시스템이 노려짐. 금융당국은 일부 금융사가 API 취약점을 공격당했고 AI 활용 수법이라고 보고 있음(파이낸셜뉴스, 미래에셋운용 해당 여부는 미확인)
        - 비정상 접근을 인지한 날짜와 노출 기간은 공개되지 않음
        - 개인정보보호위원회 신고와 정보주체 통지에 대한 보도가 엇갈림. 서울파이낸스는 ‘법정 기한 내 이행할 방침’, 매일일보는 ‘이행했다’, 서울경제는 ‘개인정보위에 신고’라고 보도
        - 같은 날 대신증권·빗썸까지 3개사 침해사고가 동시에 공개됨. 이찬진 금감원장은 은행지주 이사회 의장 간담회에서 증권사 해킹을 언급하며 IT 자산 관리와 선제적 취약점 대응을 주문함(이데일리)

□  사고대응 타임라인  

    - 시점 미상(최근)
        . 일부 업무용 웹 시스템에서 외부 IP의 비정상 접근 정황 확인, 접근 경로 차단, 비상대응체계 가동
        . WAF로 해외 접속·공격 IP 차단, 취약 기능 중단, 파일 다운로드·로그인 요청 횟수 제한
        . 접근권한 검증 취약점 보완, 외부 생성 계정 비활성화, 영향 대상자에게 비밀번호 변경 안내
        . 금융위원회·금융감독원 침해사고 보고
    - 2026년 10월 28일(수)
        . 침해사고 사실 공개, 언론 보도
        . 금감원, 대신증권·빗썸 현장점검 착수, 미래에셋운용은 현장점검 검토(뉴스핌)
        . 청와대 국가안보실 주재 금융권 해킹 긴급대응회의
    - 진행 중
        . 외부 보안 전문기관과 원인·영향 범위 조사, 개인정보보호위원회 신고와 정보주체 개별 통지(법정 기한 내)

□  개인정보 유출 관련 홈페이지 안내  

※ 2026년 10월 28일 기준, 미래에셋자산운용 홈페이지에서 개인정보 유출 관련 공지는 확인되지 않음. 아래는 회사가 언론에 밝힌 입장을 요약한 것임.

· 최근 일부 웹 시스템에서 외부 IP의 비정상적인 접근 정황을 확인하고, 즉시 해당 접근 경로를 차단하는 등 비상대응체계를 가동함
· 외부에서 정당한 접근 권한 없이 일부 업무용 시스템의 자료를 열람한 사례로, 해당 시스템 이용자의 정보 유출이 확인됨
· 해당 시스템은 개인 고객 대상 서비스가 아니어서 일반 투자자 정보는 유출 대상에 포함되지 않음
· 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 등 고유식별정보와 민감정보, 개인신용정보는 포함되지 않음
· 서버나 DB에 직접 침투한 흔적, 금전 피해, 악성코드 감염, 서비스 중단은 없으며 홈페이지 등 주요 시스템은 정상 운영 중
· 웹 방화벽(WAF)으로 해외 접속과 공격 IP 차단, 취약 기능 중단, 파일 다운로드·로그인 요청 횟수 제한, 접근권한 검증 취약점 보완, 외부 생성 계정 비활성화, 영향 대상자에게 비밀번호 변경 안내
· 금융위원회와 금융감독원에 침해사고를 보고했으며, 개인정보보호위원회 신고와 정보주체 개별 통지는 법정 기한 내 이행 예정
· 외부 보안 전문기관과 원인과 영향 범위를 조사 중이며 재발 방지에 만전을 기하겠음

 

□  대응내역  

    - (미래에셋자산운용) 접근 경로 차단, 비상대응체계 가동, WAF로 해외 접속·공격 IP 차단
    - (미래에셋자산운용) 취약 기능 중단, 파일 다운로드·로그인 요청 횟수 제한, 접근권한 검증 취약점 보완
    - (미래에셋자산운용) 외부에서 생성된 계정 비활성화, 영향 대상자에게 예방 차원의 비밀번호 변경 안내
    - (미래에셋자산운용) 외부 보안 전문기관과 원인·영향 범위 조사
    - (금융위원회·금융감독원) 침해사고 보고 접수. 금감원은 현장점검 검토(뉴스핌)
    - (개인정보보호위원회) 신고 여부에 대한 보도가 엇갈림(신고 완료 / 법정 기한 내 신고 예정)
     ※ 유출 인원, 유출 항목, 인지 일자, 노출 기간, 대상 시스템 명칭은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 업무용 웹 시스템의 모든 기능·API에서 서버 측 권한 검증(객체·기능 단위) 적용. URL과 파라미터 조작에 따른 비인가 접근(IDOR) 차단
        - 업무용 시스템의 셀프 회원가입을 막고, 계정은 관리자 승인과 사내 IAM 연동으로만 발급
        - 업무용 시스템을 인터넷에 노출하지 않거나, 노출이 필요하면 VPN·제로트러스트 접근과 다중인증(MFA) 적용
        - 파일 다운로드와 조회의 대량·자동화 패턴 탐지, 해외 IP 기본 차단
        - 외부 노출 웹 자산 전수 식별(ASM)과 AI 기반 자동화 공격을 가정한 정기 모의해킹

    2. 관리적 조치
        - 업무용 시스템의 계정 현황을 전수 점검하고 미승인·휴면·외부 계정 정리
        - 개발·변경 단계 보안성 검토에 접근통제 항목 필수 반영
        - 유출 대상자(시스템 이용자) 대상 피싱·사칭 메일 주의 안내와 비밀번호 재사용 점검
        - 유출 항목과 대상 범위를 확정해 투명하게 추가 공지하고, 금융권 공동 IoC 공유 체계에 참여

□  관련기사(출처)  

• 미래에셋운용, 웹 시스템 해킹 업무용 정보 유출 - IT조선
• 미래에셋운용, 정보 유출 범위 확인···“개인신용정보 포함 안돼” - 서울파이낸스
• 미래에셋운용 “고객 정보 유출 없어”…금투업권 해킹 잇따라(종합) - 이데일리
• 미래에셋운용도 해킹 발생… “일반 투자자 고유식별정보 유출 없어” - 서울경제
• 미래에셋자산운용, 해킹 피해 발생 ...외부서 업무자료 무단 열람 - 매일일보
• 미래에셋자산운용 “업무용 시스템서 정보 유출…일반 고객 정보 피해 없어” - 헤럴드경제
• 미래에셋운용 “웹 시스템 침해로 정보 유출...고객정보·금전피해 없어” - 디지털투데이
• 은행·증권 이어 운용사도 해킹…미래에셋, 외부 침입 확인 - 딜사이트
• 미래에셋자산운용도 웹 시스템 정보 유출···“투자자 정보는 해당 없어” - 뉴스웨이
• 대신증권 정보 유출에 금감원 현장점검…금융권 조사 확대 - 뉴스핌
• 금융권 겨냥한 AI 해킹… 증권사·가상자산 거래소도 뚫렸다 - 파이낸셜뉴스

감사합니다.