[미래에셋증권] 모바일웹 휴대폰 인증 로그인·그룹웨어 해킹으로 고객 3,800여 명 계좌번호, 임직원 3만 5천여 명 정보 유출…미래에셋 계열 연쇄 피해

[미래에셋증권] 모바일웹 휴대폰 인증 로그인·그룹웨어 해킹으로 고객 3,800여 명 계좌번호, 임직원 3만 5천여 명 정보 유출…미래에셋 계열 연쇄 피해_2026년 11월

경험한사람 2026. 11. 7. 08:38

미래에셋증권이 2026년 11월 4~5일 모바일웹 휴대폰 인증 로그인 서비스와 그룹웨어(mi-global)에 외부의 비정상적인 접근을 받았다. 이 공격으로 고객 약 3,800명의 계좌번호와 퇴직자·외주직원을 포함한 임직원 약 3만 5,255명의 이름·사번·이메일·휴대폰번호·암호화된 비밀번호가 유출됐다. 미래에셋생명·미래에셋자산운용에 이은 미래에셋 그룹 세 번째 유출 사고다.

□ 개요

미래에셋증권은 2026년 11월 7일 홈페이지에 ‘고객 개인(신용)정보 유출 안내’와 ‘임직원 개인정보 유출 안내’를 게시했다. 11월 4일 모바일웹의 휴대폰 인증 로그인 서비스에 외부의 비정상적인 접근이 있었고, 이 사고로 고객 약 3,800명의 계좌번호가 유출됐다는 내용이다.
고객 정보는 계좌번호 한 가지만 유출됐고, 예금주명 등 다른 정보는 유출되지 않았다. 회사는 유출을 인지한 즉시 해당 서비스를 긴급 중단해 추가 접근을 막았다. 지금은 대외 연결을 끊은 상태에서 취약점을 점검하며 원인과 경위를 파악하고 있다. 11월 5일에는 내부 그룹웨어(mi-global)도 공격받아, 퇴직자와 외주직원을 포함한 임직원 3만 5,255명의 이름, 사번, 이메일 주소, 휴대폰번호, 암호화된 비밀번호가 유출됐다. 주민등록번호·여권번호·운전면허번호·외국인등록번호 등 고유식별정보와 민감정보는 포함되지 않았다. 회사는 금융위원회, 금융감독원, 개인정보보호위원회에 보고하고 대상자에게 통지했다. 악성코드 감염이나 서비스 중단은 없었고, 현재까지 금전 피해는 확인되지 않았다. 11월 7일(토)에는 임시 상담창구를 운영했다.
미래에셋 그룹에서는 이번이 세 번째 유출 사고다. 앞서 미래에셋생명은 10월 26일 청약시스템 등에서 고객정보 유출을 확인했고, 미래에셋자산운용은 10월 외부 IP의 업무용 웹 시스템 접근으로 내부 업무 정보가 유출됐다. 9월 말 이후 은행·증권·보험·핀테크로 번진 금융권 연쇄 해킹의 하나로, 증권업권에서는 대신증권·한양증권에 이은 사례다.

□ 사고내용 요약

1. 회사명 : 미래에셋증권
2. 사고유형
- 해킹 : 모바일웹 휴대폰 인증 로그인 서비스 비정상 접근(11월 4일)으로 고객 계좌번호 유출
- 해킹 : 그룹웨어(mi-global) 비정상 접근(11월 5일)으로 임직원 정보 유출
3. 유출규모
- 고객 약 3,800명
- 임직원 35,255명(퇴직자·외주직원 포함)
- 합계 약 39,000명

4. 유출항목
- 고객 : 계좌번호(1개 항목, 예금주명 등 미유출)
- 임직원 : 이름, 사번, 이메일 주소, 휴대폰번호, 암호화된 비밀번호
※ 주민등록번호·여권번호·운전면허번호·외국인등록번호 등 고유식별정보·민감정보 미포함

5. 특이사항
- 미래에셋 그룹 세 번째 유출(생명 10월 26일 → 자산운용 10월 → 증권 11월 4~5일)
- 고객용 휴대폰 인증 로그인 서비스와 내부 그룹웨어가 이틀 연속 공격받음
- 임직원 3만 5천여 명의 사번·이메일·휴대폰번호가 유출돼 임직원 대상 스피어피싱·내부 침투에 악용될 우려(추정)
- 계좌번호만으로는 거래가 불가능하지만, 계좌번호를 언급하며 신뢰를 얻는 사칭 피싱에 쓰일 수 있음
- 주말(11월 7일) 임시 상담창구를 운영함

□ 사고대응 타임라인

- 2026년 10월 26일(월)
. (참고) 미래에셋생명, 고객정보 유출 확인
- 2026년 10월
. (참고) 미래에셋자산운용, 업무용 웹 시스템 침해로 내부 정보 유출
- 2026년 11월 04일(수)
. 모바일웹 휴대폰 인증 로그인 서비스 비정상 접근, 고객 계좌번호 유출
. 해당 서비스 긴급 중단·대외 연결 차단
- 2026년 11월 05일(목)
. 그룹웨어(mi-global) 비정상 접근, 임직원 정보 유출, 외부 접근 차단
- 2026년 11월 07일(토)
. 고객·임직원 유출 안내 게시, 금융위·금감원·개인정보보호위원회 보고, 대상자 통지
. 임시 상담창구 운영(10:00~17:00)
- 진행 중
. 취약점 점검, 원인·유출 경위 분석, 재발방지 대책 마련

□ 개인정보 유출 관련 홈페이지 안내

< 고객 개인(신용)정보 유출 안내 >
작성일 2026-11-07

고객 개인(신용)정보 유출에 대해 사과드립니다.

저희 미래에셋증권이 보호해야 할 고객님의 개인(신용)정보가 유출된 데 대해 깊이 사과드립니다. 금융거래에 이용되는 정보가 유출되어 고객님의 심려를 끼쳐드린 점을 무겁게 받아들이고 있습니다.

2026년 11월 4일에 당사 모바일웹의 휴대폰 인증 로그인 서비스에 대한 외부의 비정상적인 접근이 있었으며, 이번 사고로 고객 약 3,800여 명의 개인정보가 유출된 사실을 확인하였고, 유출 항목은 당사에 개설된 계좌의 계좌번호 1가지 항목입니다.

당사는 해당 유출 사실을 인지한 후 즉시 해당 서비스를 긴급 중단하여 추가 접근을 차단하였습니다.
현재 해당 서비스는 대외 연결이 차단된 상태에서 취약점을 점검하고 있으며, 사고 원인과 유출 경위를 면밀히 파악하여 재발방지 대책을 마련하고 있습니다.

위 유출 항목 외에 해당 계좌의 예금주명 등 다른 정보는 유출되지 않았으나, 고객님께서는 미래에셋증권을 사칭하는 전화·문자·이메일에 각별히 주의해 주시기 바랍니다.

상대방이 고객님의 계좌번호 등을 알고 있더라도, 메시지에 포함된 링크를 누르거나 비밀번호·OTP·문자 인증번호를 알려주지 마십시오. 예방을 위해 당사 공식 홈페이지에 직접 접속해 사이버 ID 비밀번호를 변경하시고, MAPS 앱에서 최근 주문·체결 및 입출금·이체 내역을 확인해 주시기 바랍니다.
· 본인이 하지 않은 거래를 발견했거나 사칭 연락에 인증 정보를 알려준 경우 미래에셋증권 고객센터 1588-6800으로 즉시 신고해 주십시오.
· 이번 유출과 관련한 피해 신고 및 문의는 미래에셋증권 고객센터 1588-6800에서 접수합니다.

이번 개인(신용)정보 유출로 인하여 피해를 입으신 경우, 고객님께서는 다음과 같은 방법으로 권리를 구제받으실 수 있습니다.
· 손해배상 청구 : 당사의 법 위반으로 손해를 입으신 경우 고의 또는 과실을 입증하지 않고도 손해액을 산정하여 당사를 상대로 민사소송(손해배상청구소송)을 제기하실 수 있습니다.
· 법정손해배상 청구 : 당사의 고의 또는 과실로 개인(신용)정보 유출등이 인정되는 경우, 고의 또는 과실 및 실제 손해액을 입증하지 않고도 민사소송 절차를 통해 손해배상을 청구하실 수 있습니다.
· 분쟁조정 신청 : 개인정보 침해로 인한 분쟁에 대하여 개인정보분쟁조정위원회에 조정을 신청하실 수 있습니다. 신청 절차는 개인정보분쟁조정위원회(kopico.go.kr, 1833-6972)에서 안내받으실 수 있습니다.

마지막으로, 개인정보 유출로 인해 걱정과 불편을 겪고 계실 고객님께 조금이나마 신속한 안내와 도움을 드리고자, 주말에도 문의하실 수 있도록 임시 상담창구를 운영합니다.
· 운영일시 : 2026년 11월 7일 (토) 10:00~17:00 (7시간 운영)
· 문의전화 : 02-3774-0842 / 02-3774-6920 / 02-3774-2186
임시 상담창구는 위 운영시간 동안 이용 가능하며, 임시 상담창구 종료 이후에는 11월 9일 (월) 당사 고객센터(평일 08:00 ~ 18:00 고객센터 ☎1588-6800)를 통해 문의하여 주시기 바랍니다.

고객님의 소중한 개인(신용)정보를 지켜야 할 책임을 다하지 못한 점에 대해 다시 한번 깊이 사과드립니다.

미래에셋증권 주식회사 대표이사 김미섭, 허선호

< 임직원 개인정보 유출 안내 > (2026-11-07, 요약)
· 11월 5일 그룹웨어(mi-global)에 대한 외부의 비정상적인 접근으로 임직원(퇴직자·외주직원 포함) 35,255명의 정보가 유출됨
· 유출 항목 : 이름, 사번, 이메일 주소, 휴대폰번호, 암호화된 비밀번호
· 주민등록번호 등 고유식별정보와 민감정보는 포함되지 않음
※ 임직원 공지 원문 확인 전 주요 내용을 요약함

□ 대응내역

- (미래에셋증권) 휴대폰 인증 로그인 서비스 긴급 중단·대외 연결 차단, 그룹웨어 외부 접근 차단, 비상대응체계 가동
- (미래에셋증권) 금융위원회·금융감독원·개인정보보호위원회 보고, 고객·임직원 대상 통지
- (미래에셋증권) 유출 안내 게시, 사이버 ID 비밀번호 변경·거래내역 확인 권고, 주말 임시 상담창구 운영
※ 공격 수법, 공격 주체, 미래에셋 계열사 사고와의 연관성은 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 휴대폰 인증 로그인 API의 인증 절차 우회·응답 정보 과다 노출 점검, 호출 횟수 제한
- 그룹웨어 외부 접속 차단 또는 VPN·MFA 필수 적용, 임직원 비밀번호 일괄 초기화
- 퇴직자·외주직원 계정 정리와 그룹웨어 내 개인정보 최소화
- 그룹 계열사 공통 위협 정보(공격 IP, IoC) 공유와 통합 관제

2. 관리적 조치
- 그룹 차원의 외부 공격표면(ASM) 전수 점검과 계열사 보안 수준 상향 평준화
- 임직원 대상 스피어피싱 모의훈련과 사칭 메일 주의 안내
- 고객 대상 계좌번호를 언급하는 사칭 피싱 주의 안내

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)