[줌펀드] 온투업체 해킹으로 고객 예치금 약 3억 원 제3자 계좌 이체·개인정보 유출…홈페이지·앱 차단, 금감원 현장점검_2026년 10월

온라인투자연계금융업(온투업, 옛 P2P금융) 업체 줌펀드가 해킹을 당했다. 해커의 비정상 이체 요청으로 별도 예치기관에 보관된 고객 예치금 약 3억 원이 제3자 계좌로 빠져나갔다. 줌펀드는 홈페이지와 앱 접속을 차단하고 예치금 출금을 일시 중단했으며, 개인정보 유출에 대해서도 사과했다. 금융감독원은 현장점검에 나섰다. 금융권 연쇄 해킹에서 원화 피해가 확인된 첫 사례다.

 

□  개요 

   온투업체 줌펀드가 해킹을 당해 고객 예치금 약 3억 원이 유출됐다. 해커의 비정상 이체 요청으로 별도 예치기관에 보관된 자금이 제3자 계좌로 빠져나갔다.
    온투업체는 투자자 예치금을 회사 자산과 분리해 은행 등 예치기관에 맡겨야 한다. 그런데 이번 사고에서는 이렇게 분리 보관된 자금이 실제로 빠져나갔다. 줌펀드는 금융감독원과 한국인터넷진흥원(KISA)에 신고했다. 추가 침입을 막기 위해 홈페이지와 모바일 앱 접속을 차단했고, 이에 따라 고객 예치금 출금도 일시 중단됐다. 회사는 개인정보 유출에 대해 사과하고 2차 피해 예방을 약속했으며, 피해 고객에게 예치금을 전액 반환하겠다고 밝혔다. 금감원은 10월 25일부터 현장점검을 하며 사고 경위와 피해 규모를 파악하고 있다.
    금융권에서는 9월 말부터 해킹이 잇따랐다. 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈의 개인정보 유출에 이어 대신증권, 미래에셋자산운용, 빗썸이 공격받았다. 10월 24일에는 가상자산 거래소 프라뱅에서 약 1억 원 규모의 비정상 출금이 있었다. 줌펀드 건은 원화 예치금이 실제로 빠져나간 첫 사례다. 금융위원회는 11월 5일 금감원, 금융보안원, 5대 은행장 등과 AI 해킹 대응 점검회의를 열고, AI 기반 공동 보안관제 구축을 검토하고 있다.

 

□  사고내용 요약  

    1. 회사명 : 줌펀드(온라인투자연계금융업자)
    2. 사고유형
        - 해킹 : 비정상 이체 요청으로 예치기관 보관 고객 예치금을 제3자 계좌로 이체(금전 탈취)
        - 개인정보 유출(회사 사과, 범위 미공개)
    3. 피해규모
        - 고객 예치금 약 3억 원 유출
        - 피해 고객 수, 개인정보 유출 인원은 미공개

    4. 유출항목
        - 고객 예치금(원화) 약 3억 원
        - 개인정보 : 항목 미공개

    5. 특이사항
        - 9월 말 이후 금융권 연쇄 해킹에서 원화 예치금 탈취가 확인된 첫 사례
        - 법에 따라 분리 보관(예치기관)한 자금이 이체 요청 위조나 탈취로 빠져나감. 온투업체와 예치기관 사이의 이체 지시 인증 체계가 뚫린 것으로 보임(추정)
        - 접속 차단으로 출금이 막혀 일반 투자자도 불편을 겪음
        - 회사는 피해 고객 예치금 전액 반환 방침

□  사고대응 타임라인  

    - 2026년 10월 하순 이전(일자 미공개)
        . 해킹, 비정상 이체 요청으로 예치금 약 3억 원 제3자 계좌 이체
        . 금감원·KISA 신고, 홈페이지·앱 접속 차단, 예치금 출금 일시 중단
    - 2026년 10월 25일(일)
        . 금감원 현장점검 시작
    - 2026년 10월 30일(금)
        . (참고) 금감원, 업권별 협회 실무진 회의, 금융회사에 보안 취약점 개선 계획 제출 요구
    - 2026년 11월 02일(월)
        . 사고 사실 외부에 알려짐
    - 2026년 11월 05일(목) 예정
        . (참고) 금융위, AI 해킹 대응 점검회의
    - 진행 중
        . 금감원 현장점검, 피해 고객 예치금 반환 준비

□  해킹 관련 회사 입장  

< 줌펀드 입장 요약 >

· 해킹 사실을 금융감독원과 한국인터넷진흥원(KISA)에 신고함
· 추가 침입 방지를 위해 홈페이지와 모바일 앱 접속을 차단함. 이에 따라 고객 예치금 출금이 일시 중단됨
· 개인정보 유출에 대해 사과하고 2차 피해 예방에 최선을 다하겠다고 밝힘
· 피해 고객에게 예치금 전액 반환 예정

※ 홈페이지 접속 차단으로 회사 공지 원문이 확인되지 않아 회사 입장을 요약함

 
□  대응내역  

    - (줌펀드) 금감원·KISA 신고, 홈페이지·앱 접속 차단, 예치금 출금 일시 중단, 피해액 전액 반환 예정
    - (금융감독원) 10월 25일부터 현장점검(사고 경위·피해 규모 파악)
    - (금융위원회) 11월 5일 AI 해킹 대응 점검회의 예정, AI 기반 공동 보안관제 구축 검토
     ※ 해킹 일시·수법, 예치기관명, 피해 고객 수, 개인정보 유출 항목·규모, 서비스 재개 시점은 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 예치기관 이체 지시 시스템(API·펌뱅킹) 접근 계정 MFA, 지시 전문 서명·무결성 검증
        - 사전 등록되지 않은 계좌로의 이체 차단(화이트리스트), 고액·비정상 이체 실시간 탐지와 지연 이체
        - 관리자 페이지 외부 노출 차단, 웹 취약점 전수 점검(AI 기반 공격 가정)

    2. 관리적 조치
        - 이체 지시에 이중 승인(Maker-Checker) 적용과 예치기관 쪽 교차 확인 절차 마련
        - 개인정보 유출 범위를 확인해 개별 통지, 개인정보보호위원회 신고
        - 온투업권 공동 보안 점검과 위협 정보 공유

□  관련기사(출처)  

• [단독] 온투업체 줌펀드, 해킹에 고객 예치금 3억 유출…금감원 현장점검 - 뉴스1
• 온투업체 줌펀드, 해킹에 고객 예치금 3억 유출…연쇄 해킹 첫 원화 피해 - 뉴시스(뉴스통 전재)
• 금융권 잇단 해킹사고...금융당국, AI 보안관제 강화·점검회의 개최 - 뉴스핌

감사합니다.