[페이네스트] PG사 가맹점 인증키 해킹·API 위조 송금 전문으로 자금 3억 7천만 원 유출…금감원 현장점검 예정, 금융권 해킹 4번째 자금 피해_2026년 11월

전자지급결제대행업체(PG사) 페이네스트에서 해킹으로 약 3억 7,000만 원의 자금이 유출됐다. 가맹점 인증키가 해킹돼 연결 창구인 API로 위조된 송금 전문이 보내졌고, 그 결과 제3자에게 자금이 빠져나간 것으로 추정된다. 금융감독원은 조만간 현장점검에 나설 계획이다. 금융권 연쇄 해킹에서 당국이 확인한 네 번째 자금 피해 사례다.

□  개요 

   금융권 해킹이 잇따르는 가운데 전자지급결제대행업체(PG사) 페이네스트에서 약 3억 7,000만 원 규모의 자금이 유출된 사실이 2026년 11월 5일 확인됐다.
    PG사 가맹점 인증키가 해킹됐고, PG사와 가맹점을 잇는 연결 창구인 API로 위조된 송금 전문이 보내졌다. 이 위조 전문을 통해 자금이 제3자에게 빠져나간 것으로 추정된다. 금융감독원은 해당 업체에 대해 조만간 현장점검에 나설 계획이다. 해킹이 발생한 정확한 시점, 개인정보 유출 여부, 회사 입장은 공개되지 않았다.
    금융권 해킹 사태 이후 자금 피해는 가상자산 거래소 프라뱅(약 1억 원), 전자금융업체 페이허브(약 2억 원), 온라인투자연계금융업체 줌펀드(약 3억 원)에서 먼저 확인됐다. 페이네스트는 당국이 확인한 네 번째 사례이며, 지금까지 집계된 자금 유출 규모는 약 10억 원이다. 개인정보 유출에 그쳤던 초기 사고와 달리, 인증키·이체 요청 위조를 통해 실제 돈이 빠져나가는 사고가 이어지고 있다.

 

□  사고내용 요약  

    1. 회사명 : (주)페이네스트(전자지급결제대행업체, PG사)
    2. 사고유형
        - 해킹·자금 탈취 : 가맹점 인증키 탈취 후 API로 위조 송금 전문 전송, 제3자 계좌로 자금 유출(추정)
    3. 피해규모
        - 자금 약 3억 7,000만 원 유출

    4. 피해항목
        - 자금 약 3억 7,000만 원
        - 가맹점 인증키(탈취)
        - 개인정보 유출 여부 : 미공개

    5. 특이사항
        - 금융권 연쇄 해킹에서 당국이 확인한 네 번째 자금 피해 사례(누적 약 10억 원)
        - 데이터 탈취가 아니라 가맹점 인증키로 정상 거래처럼 위장한 송금 전문을 보낸 수법
        - 인증키만으로 송금 요청이 통과돼, API 호출에 출발지 IP 제한이나 추가 인증이 부족했던 것으로 보임(추정)
        - 줌펀드(예치금 이체 위조)와 마찬가지로 ‘이체 지시’를 위조한 사고

□  사고대응 타임라인  

    - 시점 미공개(최근)
        . 가맹점 인증키 해킹, API로 위조 송금 전문 전송, 자금 약 3억 7,000만 원 유출
    - 2026년 11월 05일(목)
        . 자금 유출 사실 외부에 알려짐, 금감원 현장점검 계획
    - 진행 중
        . 금감원 현장점검 예정, 유출 경위 조사

□  금융권 자금 피해 현황  

순번	업체	업종	피해액
1	프라뱅	가상자산 거래소	약 1억 원
2	페이허브	전자금융업(PG)	약 2억 원
3	줌펀드	온라인투자연계금융업	약 3억 원
4	페이네스트	전자금융업(PG)	약 3억 7,000만 원
합계			약 10억 원

※ 금융권 해킹 사태 이후 당국이 확인한 자금 피해 사례 기준

 

{캡처 이미지}

□  대응내역  

    - (금융감독원) 페이네스트 현장점검 예정
     ※ 해킹 시점, 회사 입장, 피해 가맹점 수, 자금 회수·보상 여부, 개인정보 유출 여부, 관계기관 신고 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 가맹점 인증키 즉시 재발급, 키 저장 위치(가맹점 서버·소스코드·설정 파일) 점검
        - 송금·지급 API에 출발지 IP 허용 목록, 전문 서명(HMAC)·타임스탬프 검증 적용
        - 사전 등록 계좌 외 송금 차단, 고액·비정상 송금 실시간 탐지와 지연 지급
        - 가맹점별 송금 한도 설정과 이상 거래 시 자동 정지

    2. 관리적 조치
        - 가맹점 대상 인증키 관리 지침 배포와 보안이 취약한 가맹점 점검
        - 송금 API 이용 가맹점의 이중 승인 절차 도입
        - PG업권 공동 위협 정보 공유와 영세 PG사 보안 점검 지원

□  관련기사(출처)  

• PG사 ‘페이네스트’ 해킹으로 3억 7천만 원 유출…당국 점검 예정 - KBS
• “돈도 털렸다” 온라인투자사는 3억, 결제대행업체는 2억 해킹 - MBC(참고)
• 온투업체 줌펀드, 해킹에 고객 예치금 3억 유출…연쇄 해킹 첫 원화 피해 - 뉴시스(참고)

감사합니다.