[금융보안원] '상시평가 지원시스템' 해킹으로 금융사 제출서류·직원 정보 유출…금융권 보안 총괄기관 피해_2026년 11월

금융권 보안관제와 침해사고 대응을 총괄하는 금융보안원이 2026년 11월 9일 해킹을 당했다. 피해 시스템은 금융회사의 개인신용정보 보호 실태 평가를 지원하는 ‘상시평가 지원시스템’이며, 이 해킹으로 금융회사가 평가용으로 제출한 서류와 일부 금융사 직원 정보(마스킹된 성명·이메일·전화번호)가 유출된 것으로 알려졌다. 금융보안원은 서버를 긴급 중단하고 금융당국에 보고했다. 해킹을 관리하는 기관이 뚫려 금융권 신뢰에 타격이 우려된다.

□  개요 

   금융보안원은 2026년 11월 9일 오전 상시평가 지원시스템이 해킹당한 사실을 확인하고 긴급 차단 조치를 했다. 같은 날 금융위원회 등 금융당국에 사고를 보고했다.
    상시평가 지원시스템은 금융회사가 개인신용정보 관리·보호 실태를 자체 점검해 제출하면 금융보안원이 이를 검토하는 시스템이다. 외부 금융회사와 자료를 주고받는 구조다. 금융보안원은 신용정보법에 따라 2026년 4월부터 약 3,000개 금융회사를 대상으로 이 상시평가를 시작했다. 유출된 자료는 주로 금융회사가 평가를 위해 제출한 신청서 등 업무처리용 서류로 알려졌다. 일부 서류에 기재된 개인정보와 금융사 직원의 일부 마스킹된 성명·이메일·전화번호도 유출됐다는 보도가 있다. 반면 금융보안원 측은 개인정보 유출이 없다는 입장을 낸 것으로 전해져, 개인정보 유출 여부와 규모는 아직 확정되지 않았다. 금융회사가 제출한 내부 점검 자료의 유출 여부도 조사 중이다.
    금융보안원은 11월 9일 18시부터 ‘서비스 개편’을 이유로 평가 서버를 별도 공지 때까지 중단했고, 이의신청 기간을 연장할 예정이다. 유출이 확인된 금융회사에는 개별 통지하고 있다. 금융위원회는 사고 경위를 명확히 밝히고, 시스템 복구와 전체 보안 상태를 재점검하라고 지시했다. 금융당국은 침해된 시스템이 금융보안원의 핵심 보안 시스템이 아니어서 피해가 제한적일 것으로 보고 있다. 그러면서도 금융위 관계자는 “유출 규모보다 해킹을 관리하는 기관에서 사고가 났다는 점이 문제”라며 엄중하게 인식하고 있다고 밝혔다. 금융위는 불과 닷새 전인 11월 5일 금융보안원에서 금융권 보안 혁신 회의를 열었다. 금융권에서는 9월 30일부터 11월 3일까지 37개 금융회사에서 40건의 침해사고가 신고돼 약 47만 3천 건의 정보가 유출됐다. 다만 이번 사고와 금융권 연쇄 해킹 사이의 연관성은 확인되지 않았다. 제출 서류에 금융회사의 내부 보안 체계나 시스템 구성 정보가 담겨 있다면, 개별 금융사를 노린 추가 공격의 발판으로 악용될 우려가 있다(추정).

 

□  사고내용 요약  

    1. 기관명 : 금융보안원
    2. 사고유형
        - 해킹 : 외부 공격으로 상시평가 지원시스템 침해, 금융회사 제출 서류 유출
    3. 유출규모
        - 미공개(피해 금융회사 수, 유출 건수 비공개)
        - 참고 : 상시평가 대상 금융회사 약 3,000개사(피해 규모 아님)

    4. 유출항목
        - 금융회사가 상시평가용으로 제출한 업무처리용 서류(신청서 등)
        - 금융사 직원의 일부 마스킹된 성명, 이메일, 전화번호(일부 보도)
        ※ 개인정보 유출 여부는 보도마다 다름(아래 표 참고), 내부 점검 자료 유출 여부는 조사 중

    5. 특이사항
        - 금융권 보안관제·침해대응을 맡는 보안 총괄기관이 피해를 입음
        - 피해 시스템은 외부 금융회사와 자료를 주고받는 평가 지원 시스템(핵심 보안 시스템 아님)
        - 금융위 금융권 보안 혁신 회의(11월 5일, 금융보안원 개최) 닷새 뒤 해킹 사실 공개
        - 9월 말 이후 금융권 연쇄 침해사고(37개사 40건, 약 47만 3천 건) 와중에 발생(연관성 미확인)
        - 금융회사 제출 서류에 보안 체계·시스템 구성 정보가 담겼다면 2차 공격에 악용될 우려(추정)

구분	보도 내용
개인정보 미확인	일부 개인정보가 포함됐을 수 있으나 구체적으로 확인되지 않음
일부 유출	제출 서류에 기재된 일부 개인정보 유출 정황 확인
직원 정보 유출	금융사 직원의 일부 마스킹된 성명·이메일·전화번호 유출, 마스킹 안 된 정보 노출 여부는 확인 중
유출 없음	금융보안원 측은 이번 해킹으로 개인정보는 유출되지 않았다는 입장으로 전해짐

※ 개인정보 유출 여부가 보도마다 달라 나란히 표기함

□  사고대응 타임라인  

    - 2026년 04월
        . (참고) 금융보안원, 금융회사 약 3,000개사 대상 개인신용정보 보호 상시평가 시행
    - 2026년 09월 30일 ~ 11월 03일
        . (참고) 금융권 37개사 40건 침해사고 신고, 약 47만 3천 건 유출
    - 2026년 11월 05일(목)
        . (참고) 금융위원회, 금융보안원에서 금융권 보안 혁신 회의 개최
    - 2026년 11월 09일(월)
        . 오전, 상시평가 지원시스템 해킹 발생·확인, 긴급 차단
        . 금융위원회 등 금융당국에 보고
        . 18:00, 평가 서버 중단(‘서비스 개편’ 안내)
    - 2026년 11월 10일(화)
        . 해킹 사실 공개, 금융위 사고 경위 규명·시스템 재점검 지시
        . 유출 확인 금융회사 개별 통지
    - 진행 중
        . 유출 범위, 타 시스템 연결 여부, 원인 조사, 이의신청 기간 연장 예정

□  금융보안원·금융당국 입장 및 안내  

< 금융보안원 >
· 상시평가 지원시스템 침해 확인 후 긴급 차단, 금융당국 보고
· 상시평가 사이트 : 서비스 개편을 이유로 서버 일시 중단(11월 9일 18:00부터 별도 공지 시까지)
· 이의신청 기간 연장 예정
· 유출 확인 금융회사에 개별 통지
· 침해된 망은 핵심 보안 시스템이 아님

< 금융위원회 >
· 사고 경위 규명, 복구 조치, 전체 시스템 보안 재점검 지시
· 시스템 취약점, 금융보안원 타 시스템과의 연결 여부, 원인과 재발방지 대책 점검 중
· 금융위 관계자 : “시스템 성격상 민감한 정보가 있는 시스템은 아닌 것으로 보고받았다”
· 금융위 관계자 : “유출 규모가 크거나 민감하지 않은지보다 해킹을 관리하는 기관에서 사고가 났다는 점이 문제”, 엄중하게 인식

※ 금융보안원의 별도 사고 공지문 원문은 확인되지 않아, 확인된 입장과 안내를 요약함

 

□  대응내역  

    - (금융보안원) 상시평가 지원시스템 긴급 차단, 평가 서버 중단, 금융당국 보고
    - (금융보안원) 유출 확인 금융회사 개별 통지, 이의신청 기간 연장 예정
    - (금융위원회) 사고 경위 규명·복구·전체 보안 상태 재점검 지시, 취약점·시스템 연결 여부 점검
     ※ 피해 금융회사 수, 유출 건수, 공격 수법·주체, 개인정보 유출 확정 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 외부 기관과 연동하는 평가 시스템의 웹 취약점·인증 우회 전수 점검
        - 제출 서류 저장소 암호화, 열람 권한 최소화, 대량 다운로드 탐지
        - 평가 시스템과 내부 핵심망의 망 분리 상태 재검증
        - 평가 기간 종료 서류의 보관기한 설정과 파기

    2. 관리적 조치
        - (금융회사) 상시평가에 제출한 자료 목록을 점검하고, 보안 구성 정보가 포함됐다면 관련 설정 변경·모니터링 강화
        - (금융회사) 평가 담당 직원 대상 금융보안원·금융당국 사칭 메일 주의 안내
        - (금융회사) 상시평가 시스템 계정 비밀번호 변경, 같은 비밀번호를 쓰는 다른 계정 점검
        - 감독·평가 기관에 제출하는 자료의 민감도 분류와 최소 제출 원칙 정립

□  관련기사(출처)  

• 금융보안원 ‘상시평가 시스템’ 해킹…금융사 제출서류 유출(종합) - 이데일리
• 금융보안원 상시평가 지원시스템 해킹 - 파이낸셜포스트
• 금융보안원도 해킹당했다…상시평가 지원시스템서 개인정보 유출 - 이투데이
• 금융보안원도 해킹에 뚫렸다…금융사 직원 정보 일부 유출 - 아이티데일리
• 금융보안원까지 해킹…회원 금융사 정보 유출 - 비즈워치
• 금융보안원도 털렸다…상시평가 지원시스템 해킹 - 뉴스핌
• [종합] ‘파수꾼’ 금융보안원 해킹 피해로 보안 우려 확산…“서버 일시 중단” - 아주경제
• ‘금융시스템 수문장’ 금융보안원 해킹…금융권 신뢰 타격 ‘우려’ - 데일리안
• 금융보안원 상시평가 사이트 해킹…금융사 유출 통지 - 재경일보

감사합니다.