은행 개인정보 유출 조회, 연소득 아는 전화 끊는 4단계

작년에 운영자금 대출을 알아보면서 모집인에게 상담만 받아 본 사장님이라면, 이번 뉴스를 그냥 넘기기 어렵습니다. 저녁 마감 중에 “사장님 연소득 기준으로 한도가 더 나옵니다”라는 전화가 걸려 오면, 상대가 그 숫자를 어떻게 아는지부터 의심해야 하는 상황이 됐습니다.

이번 은행 개인정보 유출은 이름·전화번호에서 끝나지 않고 연소득과 대출 한도 같은 신용정보까지 포함됐다는 점이 다릅니다. 그래서 대응은 거래은행에서 내 이름이 대상인지 조회하고, 명의도용 대출을 먼저 막고, 내 사정을 아는 전화는 끊고 대표번호로 되묻는 순서로 갑니다.

---

1. 이번 은행 개인정보 유출, 무엇이 나갔나요?

은행마다 다르지만 공통점은 대출 심사에 쓰는 신용정보가 섞여 있다는 것입니다. 세 은행이 홈페이지에 올린 공지를 나란히 놓으면 차이가 보입니다.

출처: 각 은행 홈페이지 유출 안내(신한 10월 1일·KB국민 10월 2일·하나 10월 3일 게시, 2026년 10월 4일 열람)

신한은행이 10월 1일 따로 올린 ‘유출 사실 통지 안내’를 보면 항목이 훨씬 깁니다. 9월 28일 외부 접근이 있었고 다음 날 유출을 확인했다고 적었습니다. 고객명·고객번호·연락처에 주민등록번호와 CI, 대출 신청·실행일과 금리, 직장명과 급여계좌, 환전 정보까지 나열돼 있고 고객마다 나간 항목이 다릅니다.

경로는 “일부 서비스”라고만 적혀 있습니다. 언론 보도에 따르면 침투 경로로 지목된 곳은 대출모집인이 쓰는 모바일 웹페이지였습니다. 대출을 실제로 받지 않고 모집인 상담만 거친 사람도 기록이 남았을 수 있다는 뜻입니다.

KB국민은행 항목은 더 구체적입니다. 고객신용등급, 세대연소득금액, 리볼빙연체원금, 예금잔액까지 들어 있고 사람마다 유출 항목이 다릅니다. KB국민은행은 유출된 시스템이 인터넷뱅킹 등 금융거래와는 무관하다고 밝혔습니다. 계좌 돈이 직접 빠져나가는 사고와는 성격이 다르다는 설명입니다.

피해는 은행 밖으로도 번지는 중입니다. 보도에 따르면 저축은행과 캐피탈사에서도 유출이 추가로 확인됐고, 금융위원회는 10월 4일 전 금융업권을 긴급 소집했습니다. 거래하는 2금융권 회사가 있다면 그곳 공지도 함께 살펴보는 편이 안전합니다.

2. 내가 대상인지는 은행 조회 화면과 개별 통지로 확인합니다

은행 개인정보 유출 대상인지는 뉴스가 아니라 거래은행이 주는 확인 경로로 판단합니다. 은행마다 방식이 다르니 거래한 곳 기준으로 아래 순서를 밟습니다.

1. 신한은행 — 홈페이지 고객센터 → 보안서비스 → 개인정보보호정책 → ‘고객정보 유출 조회’에서 계좌번호 인증이나 휴대전화 SMS 인증을 거칩니다. i-PIN 회원은 이 화면으로 확인할 수 없다고 안내돼 있어 전담 상담센터 1544-2946으로 문의합니다.
2. KB국민은행 — 유출 고객에게 휴대폰 문자로 개별 통지를 보냈고, 상세 항목도 그 문자에 적혀 있습니다. 전용 상담센터는 1566-8331입니다.
3. 하나은행 — 10월 2일 해당 고객 휴대폰과 이메일로 개별 안내했습니다. 피해 접수는 고객센터 1599-1111입니다.

여기서 함정이 하나 있습니다. KB국민은행은 공지에 “유출 관련으로 URL·링크를 포함한 문자를 보내지 않는다”고 못 박았습니다. 유출 확인을 핑계로 링크가 붙은 문자가 오면 100% 전자금융사기라고 적었습니다.

은행 개인정보 유출 사고 직후에는 ‘유출 조회’ 문자를 흉내 낸 스미싱이 따라붙기 쉽습니다. 조회는 문자 속 링크를 누르지 말고 은행 앱이나 직접 입력한 홈페이지 주소로 들어가서 합니다.

3. 연소득·한도를 아는 대출 권유 전화는 끊고 대표번호로 되묻습니다

상대가 내 연소득이나 예상 한도를 말하더라도 그것을 은행 직원이라는 증거로 받아들이지 않습니다. 이번에 나간 항목이 정확히 그런 숫자라서, 아는 척은 오히려 경고 신호입니다.

평소라면 “내 소득을 아는 걸 보니 진짜 은행이구나” 하고 넘어갈 대목입니다. 이제는 순서가 반대입니다. 전화가 오면 아래처럼 대응합니다.

• 그 자리에서 결정하지 않습니다 — “확인하고 다시 연락드리겠다”고 말하고 끊습니다
• 받은 번호로 다시 걸지 않습니다 — 거래은행 대표번호나 앱 상담으로 직접 연결해 그런 안내가 있었는지 묻습니다
• 보내라는 것은 보내지 않습니다 — 신분증 사진, 인증번호, 앱 설치 링크, 선입금은 전부 거절합니다
• 기록을 남깁니다 — 발신번호와 통화 시각을 적어 두면 1566-1188이나 1332 신고 때 그대로 씁니다

선입금이나 연 20%를 넘는 이자를 요구하는 업체를 가려내는 기준은 불법사금융 구별법, 연 20%·선입금 요구면 바로 끊으세요에 따로 정리했습니다. 유출 정보로 접근하는 대출 권유도 결국 같은 판별선에 걸립니다.

4. 명의도용 대출은 세 창구로 미리 막아 둡니다

유출된 정보로 내 이름의 대출이 실행되는 걸 막으려면 여신거래 안심차단부터 걸어 둡니다. KB국민·하나은행도 공지에서 피해 최소화 조치로 이 서비스를 안내했습니다.

출처: KB국민은행·하나은행 유출 안내, 금융위원회 정책브리핑(여신거래 안심차단)

여신거래 안심차단은 신용카드 신규 발급을 차단 대상에서 뺄 수 있게 바뀌었습니다. 카드 갱신·교체나 체크카드 발급은 원래 대상이 아닙니다. 대신 해제 절차는 신청보다 까다로우니, 운영자금 대출을 앞둔 사장님은 일정을 감안해 거는 편이 좋습니다.

마지막으로 크레딧포유(credit4u.or.kr)에서 본인신용정보를 열람해 봅니다. 내가 모르는 대출·카드 개설이 보이면 바로 해당 금융회사와 1332에 알립니다. 은행이 보상을 약속했더라도 보상은 피해가 생긴 뒤의 일입니다.

5. 거론되는 원인은 비밀번호 재사용, 매장 계정부터 끊어 냅니다

언론에서 거론된 공격 방식은 다른 곳에서 털린 아이디·비밀번호를 그대로 넣어 보는 크리덴셜 스터핑입니다. 당국이 원인을 확정한 것은 아니지만, 금융위원회는 10월 2일 회의에서 인증·접근통제 취약점 점검을 금융권에 주문했습니다.

크리덴셜 스터핑이란 한 사이트에서 유출된 계정 정보를 다른 사이트 로그인 창에 대량으로 넣어 보는 공격을 말합니다. 비밀번호를 여러 곳에 똑같이 쓰면 가장 허술한 곳 하나가 나머지 전부의 열쇠가 됩니다. 개인정보보호위원회 집계로 유출 신고는 2022년 167건, 2023년 318건에서 2025년 447건으로 늘었고, 2026년에는 상반기에만 432건이 들어왔습니다.

매장이 쓰는 계정을 떠올려 보면 같은 비밀번호가 의외로 겹쳐 있습니다.

• 인터넷뱅킹과 카드매출 조회 사이트
• 포스기 관리자 계정과 매출 리포트 웹
• 배달앱 사장님 사이트와 네이버 스마트플레이스
• 카드단말기 가맹점 관리 화면

네 묶음이 서로 다른 비밀번호를 쓰는지, 직원이 퇴사한 뒤 포스 관리자 비밀번호를 바꿨는지만 점검해도 한 군데 뚫렸을 때 번지는 범위가 줄어듭니다. 결제 단말기 쪽 보안 점검 포인트는 상품권 카드결제 탐지 강화, 매장이 챙길 3가지에 함께 정리돼 있습니다.

포스커넥트는 매장 상황에 맞는 POS·단말기·테이블오더 선택을 돕는 브랜드입니다. 포스를 바꾸거나 새로 설치할 때는 관리자 권한을 직원별로 나눌 수 있는지도 함께 확인해 보세요.

오늘 할 일

• ✅ 거래은행 유출 여부 확인 — 신한은 조회 메뉴, KB국민·하나는 개별 통지 문자·이메일을 봅니다
• ✅ 여신거래 안심차단 신청 — 대출 계획이 없다면 오늘 걸어 둡니다
• ✅ 비밀번호 겹치는 곳 정리 — 인터넷뱅킹과 포스 관리자 비밀번호부터 다르게 바꿉니다

혹시 이번 주에 내 소득을 아는 대출 전화를 받으셨나요? 그렇다면 위 세 가지 중 첫 번째부터 시작하면 됩니다.

이 글은 신한은행(10월 1일)·KB국민은행(10월 2일)·하나은행(10월 3일) 홈페이지 유출 안내와 금융위원회·금융감독원·금융보안원 2026년 10월 2일 보도참고자료를 2026년 10월 4일 열람 기준으로 정리했습니다. 금융감독원·금융보안원 조사가 진행 중이라 규모·항목·원인은 바뀔 수 있으며, 개인별 유출 여부는 거래은행이나 금감원 1332에서 확인하시기 바랍니다.