[KB캐피탈] 자동차임대자산관리시스템 외부 공격으로 고객·협력사·임직원 1,811명 개인정보 유출

[KB캐피탈] 자동차임대자산관리시스템 외부 공격으로 고객·협력사·임직원 1,811명 개인정보 유출_2026년 11월

경험한사람 2026. 11. 14. 14:34

KB금융그룹 계열 여신전문금융사 KB캐피탈의 자동차임대자산관리시스템이 외부의 악의적인 공격을 받아, 2026년 11월 10일 개인정보 유출이 확인됐다. 이 사고로 고객 20명과 협력사 직원·임직원 1,791명, 모두 1,811명의 이름·생년월일·휴대폰번호·주소·차량번호와 사용자계정·부서·직함이 유출됐다. 회사는 손해가 생기면 전액 배상하겠다고 밝혔다.

□ 개요

KB캐피탈은 2026년 11월 12일 홈페이지에 ‘개인정보 유출 관련 안내’를 게시했다. 악의적인 공격으로 11월 10일 고객, 협력사, 임직원의 개인정보가 유출된 사실을 확인했다는 내용이다.
유출이 일어난 시스템은 직원이 차량 임대자산을 관리할 때 쓰는 자동차임대자산관리시스템으로, 회사는 금융거래와 관계없는 시스템이라고 설명했다. 회사는 11월 10일 서버 부하에 대응하다가 국내 IP에서 들어온 다수의 비정상 정보 조회 시도를 발견했다. 유출 인원은 고객 20명, 협력업체 직원과 임직원 1,791명, 모두 1,811명이다. 고객은 이름, 생년월일, 휴대폰번호, 주소, 차량번호가, 협력사 직원과 임직원은 사용자계정, 이름, 휴대폰·전화번호, 부서명, 회사명, 직함이 유출됐으며 개인별 항목은 다르다.
KB캐피탈은 유출을 인지한 뒤 대상 시스템과 서버를 멈춰 접근 경로를 차단하고, 비정상 접근 모니터링을 강화했다. 인지 당일 금융감독원에 보고했으며, 금감원은 이후 현장점검에 나설 것으로 보인다. 홈페이지에 개인정보 유출 여부 조회 페이지를 열었고, 손해가 생기면 전액 배상하겠다고 밝혔다. 구체적인 공격 기법과 공격자는 공개되지 않았다. 정보 조회가 몰려 서버 부하가 생긴 점에서, 자동화 도구로 데이터를 대량 조회·수집한 공격일 가능성이 있다(추정). 유출된 협력사·임직원의 사용자계정은 다른 시스템에 대한 계정 대입이나 사칭 피싱에 악용될 우려가 있다(추정). 9월 말 이후 은행·증권·보험·카드에 이어 캐피탈 업권까지 금융권 침해사고가 이어지고 있다.

□ 사고내용 요약

1. 회사명 : KB캐피탈(KB금융그룹)
2. 사고유형
- 해킹 : 자동차임대자산관리시스템 외부 공격, 국내 IP의 비정상 대량 정보 조회
3. 유출규모
- 1,811명(고객 20명, 협력사 직원·임직원 1,791명)

4. 유출항목
- 고객 : 이름, 생년월일, 휴대폰번호, 주소, 차량번호
- 협력사 및 임직원 : 사용자계정, 이름, 휴대폰번호, 전화번호, 부서명, 회사명, 직함
※ 개인별 유출 항목 상이, 금융거래 시스템과는 무관

5. 특이사항
- 금융그룹 계열 캐피탈사의 업무 시스템 침해
- 서버 부하 대응 중 비정상 대량 조회를 발견
- 협력사·임직원 사용자계정 유출로 계정 대입·사칭 악용 우려(추정)
- 인지 당일 금융감독원 보고, 금감원 현장점검 전망
- 손해 발생 시 전액 배상 방침

□ 사고대응 타임라인

- 2026년 11월 10일(화)
. 서버 부하 대응 중 국내 IP의 비정상 정보 조회 발견, 개인정보 유출 확인
. 대상 시스템·서버 중지, 접근 경로 차단
. 금융감독원 보고
- 2026년 11월 12일(목)
. 홈페이지에 ‘개인정보 유출 관련 안내’ 게시, 유출 여부 조회 페이지 운영
- 2026년 11월 13일(금)
. 사고 사실 보도
- 진행 중
. 비정상 접근 모니터링 강화, 금감원 현장점검 예정

□ 개인정보 유출 관련 홈페이지 안내

개인정보 유출 관련 안내
2026-11-12

개인정보 유출 사실을 통지하게 되어 깊은 사과의 말씀을 드립니다.
정보보호에 최우선으로 노력하여 왔으나 악의적인 공격에 의해 2026년 11월 10일 KB캐피탈 고객, 협력사 및 임직원의 개인정보가 유출되었음을 확인하였습니다.
개인정보가 유출된 시스템은 자동차임대자산관리시스템으로 금융거래와는 무관한 시스템입니다.

유출된 개인정보 항목은 아래와 같으며, 아래 항목에서 개인별 유출항목이 다르므로 상세한 유출 항목은 KB캐피탈 홈페이지에서 확인해주시기 바랍니다.

○ 유출된 개인정보 항목 :
- 고객 : 이름, 생년월일, 휴대폰번호, 주소, 차량번호
- 협력사 및 임직원 : 사용자계정, 이름, 휴대폰번호, 전화번호, 부서명, 회사명, 직함

당사는 유출된 사실을 인지한 후, 대상 시스템 및 서버 중지를 통한 접근 경로를 원천차단하고, 비정상 접근 모니터링 등 보안 조치를 강화하였습니다. 이번 사고로 유출된 개인정보를 이용하여 웹사이트 명의도용, 보이스피싱, 파밍 등 2차 피해의 우려가 있으므로 혹시 모를 피해를 막기 위한 피해 최소화 조치를 취해 주시기를 당부 드립니다.
· 피해 최소화 조치
- 스미싱/피싱 문자 및 메일 주의 : 본인확인을 빙자한 출처가 불분명한 문자메시지(LMS, 알림톡) 내 링크 클릭이나 당사 또는 택배사를 사칭한 스미싱/보이스피싱 전화 및 문자 연락에 유의하여 주시고, 특히 개인정보 및 금융정보 입력 요구에 응하지 않도록 주의하여 주시기 바랍니다.

개인정보 유출과 관련하여 궁금하신 사항은 아래 피해 등 접수 담당부서로 연락해 주시기 바랍니다.
- 정보유출 관련 상담센터 : ☎ 1544-1200

이번 개인정보 유출로 인해 손해를 입으신 경우, 손해배상청구 또는 개인정보분쟁조정위원회 신청을 통해 구제를 받으실 수 있습니다.
정보유출로 인한 손해가 발생한 경우 전액 배상토록 할 예정이며, 심려를 끼쳐 드리게 된 점 다시 한번 진심으로 사과 드립니다.

KB캐피탈

□ 대응내역

- (KB캐피탈) 대상 시스템·서버 중지로 접근 경로 원천 차단, 비정상 접근 모니터링 강화
- (KB캐피탈) 금융감독원 보고(인지 당일), 유출 안내 게시, 유출 여부 조회 페이지·상담센터(1544-1200) 운영, 전액 배상 방침
- (금융감독원) 사고 보고 접수, 현장점검 예정
※ 공격 기법·침입 경로, 공격자, 개인정보보호위원회 신고 여부, 협력사·임직원 각각의 인원은 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 업무 시스템 조회 API 호출 빈도 제한(Rate Limit)과 대량 조회 이상행위 실시간 탐지
- 외부 접점 업무 시스템의 인증 우회·권한 검증(IDOR) 취약점 점검
- 협력사·임직원 계정 비밀번호 일괄 변경과 MFA 적용
- 업무 시스템 내 고객 정보 조회 화면 마스킹 기본 적용

2. 관리적 조치
- 비금융 업무 시스템도 금융 시스템과 동일한 보안 수준으로 외부 노출 전수 점검
- 협력사 계정 발급·회수 관리 강화와 장기 미사용 계정 정리
- 고객 대상 캐피탈·택배사 사칭 스미싱 주의 안내

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)