목차
2026년 10월 17일 브리핑에서는 금융권 개인정보 유출과 공공기관 내부자에 의한 정보 판매 사건을 살펴봅니다. OK저축은행에서는 추가 점검으로 다른 서비스 관련 홈페이지의 침해가 확인됐고, 예가람저축은행에서는 고객 4만3246명의 개인정보 유출이 보도됐습니다. 건강보험공단 사건은 외부 공격뿐 아니라 정당한 접근권한을 가진 직원의 정보 오용과 피해자 통보 문제도 중요하다는 점을 보여줍니다. 세 사건의 공통된 점검 과제는 최초 확인 이후 피해 범위를 어떻게 검증하고, 당사자가 대응할 수 있도록 필요한 정보를 얼마나 적절하게 전달하느냐입니다.
OK저축은행, 고객 268명 추가 유출…연계 홈페이지까지 점검 필요
무슨 일이 있었나
OK저축은행에서 고객 268명의 정보가 추가로 유출된 사실이 확인됐습니다. 앞서 대출 신청 웹페이지에서 확인된 250명을 합하면 누적 유출 인원은 518명입니다.
보도에 따르면 첫 해킹 사고 이후 진행한 시스템 전수 점검 과정에서 모바일 수신서비스 관련 홈페이지의 해킹도 확인됐습니다. 다만 제공된 자료만으로는 두 침해가 언제 발생했는지, 같은 공격자나 공격 경로에 의한 것인지 판단할 수 없습니다. 추가 피해자의 구체적인 유출 항목과 전체 침해 범위 역시 확인이 필요합니다.
왜 중요한가
최초 침해가 확인된 웹페이지를 조사하는 것만으로는 전체 피해를 파악하기 어려울 수 있습니다. 금융 서비스 운영자는 대출 신청 페이지뿐 아니라 모바일 서비스 관련 홈페이지 등 고객정보를 처리하는 접점을 함께 살펴야 합니다. 서비스별 운영 주체와 데이터 보관 위치, 접근권한을 정리해 두는 것도 조사 누락을 줄이는 데 도움이 됩니다.
서로 다른 서비스에서 침해가 확인됐다는 점은 점검 범위를 넓혀야 할 이유이지만, 이를 곧바로 서로 다른 공격기법이나 AI 자동화 도구 사용의 증거로 볼 수는 없습니다. 현재 자료에는 이를 뒷받침하는 내용이 없습니다. 실무적으로는 서비스별 접속 기록과 침해 흔적을 비교해 사건 간 연관성을 검증하는 접근이 우선입니다.
건보공단 직원의 개인정보 판매…접근권한 관리와 피해 통보가 쟁점
무슨 일이 있었나
건강보험공단 직원이 개인정보를 외부에 판매하고 대가로 억대 금품을 받은 것으로 보도됐습니다. 해당 직원은 파면됐으며, 피해자에게 유출 사실이 통보되지 않았다는 지적도 나왔습니다.
제공된 자료에는 구체적인 유출 인원과 정보 항목, 정보 판매 기간, 기관의 사고 인지 시점이 제시돼 있지 않습니다. 따라서 받은 금품의 액수만으로 유출 규모를 추산하거나, 통보와 관련한 법적 의무 위반을 확정해서는 안 됩니다.
왜 중요한가
내부자 유출은 외부 침입 차단만으로 해결하기 어렵습니다. 업무상 조회 권한이 있더라도 실제 조회 목적과 범위가 정당한지 확인할 수 있어야 합니다. 근무시간 중의 접근이라는 이유만으로 정상 업무로 간주하지 않고, 업무와 무관한 반복 조회나 평소와 다른 조회량을 점검 대상으로 삼는 체계가 필요합니다.
다만 이번 사건에서 어떤 탐지 장치가 작동했거나 누락됐는지는 자료로 확인되지 않습니다. 기관은 접근기록의 보존 상태, 이상 조회에 대한 검토 절차, 권한 회수와 사후 감사 체계를 확인할 필요가 있습니다. 탐지 기준을 마련하는 데 그치지 않고 경보가 발생했을 때 누가 어떤 근거로 조사할지도 정해야 합니다.
피해자 통보는 별도로 살펴야 할 핵심 과제입니다. 유출 대상자를 특정하는 데 어려움이 있다면 식별을 위한 조사와 함께 가능한 안내 방식, 관련 법령상 통지·신고 의무를 검토해야 합니다. 구체적인 기한 준수 여부는 사고 인지 시점과 적용 요건을 확인해 판단해야 하며, 불확실한 부분이 있다는 이유로 피해자 보호 절차 전체가 멈추지 않도록 대응 계획을 갖추는 것이 중요합니다.
예가람저축은행, 4만3246명 정보 유출…인지까지 14일 경과 보도
무슨 일이 있었나
예가람저축은행 고객 4만3246명의 개인정보가 유출됐다는 보도가 나왔습니다. 일부 피해자의 정보에는 주민등록번호, 계좌번호, 거래내역이 포함된 것으로 전해졌습니다.
은행은 해커의 서버 접근 이후 14일 만에 유출 가능성을 인지한 것으로 보도됐습니다. 이는 자료에 제시된 서버 접근과 인지 사이의 간격이며, 세부 조사 과정이나 그 기간에 이뤄진 조치는 확인되지 않습니다. 모든 피해자에게 동일한 정보 항목이 유출됐다고 해석해서도 안 됩니다.
왜 중요한가
개인 식별정보와 금융 관련 정보가 함께 노출되면 피해자별 유출 항목에 맞춘 안내가 중요해집니다. 계좌번호가 포함됐다는 사실만으로 부정 이체가 발생했다고 단정할 수는 없지만, 금융기관은 관련 계정과 거래의 보호 조치, 이상 거래 확인 절차를 점검할 필요가 있습니다. 고객에게도 자신의 유출 항목과 문의·신고 경로를 명확하게 알려야 합니다.
침해 가능성을 인지하기까지 걸린 시간은 탐지 체계를 평가할 중요한 단서입니다. 다만 14일이라는 간격만으로 발표된 피해 인원이 틀렸다고 볼 근거는 없습니다. 현재 보도된 4만3246명이라는 수치의 신뢰성을 검토하려면 집계 기준, 조사 대상 시스템, 유출 판단 근거와 추가 조사 진행 여부를 확인해야 합니다.
운영 관점에서는 최초 접근부터 이상 징후 발생, 경보 확인, 사고 판단까지의 시간 흐름을 재구성하는 작업이 필요합니다. 로그가 남아 있는지뿐 아니라 실제 분석과 대응으로 이어졌는지 살펴야 탐지 지연의 원인을 검증할 수 있습니다. 이후 조사에서 피해 범위가 달라진다면 안내 내용도 그에 맞춰 갱신해야 합니다.
오늘의 보안·IT 체크포인트
- 조사 범위를 서비스 전체로 넓히기: 최초 침해 지점 외에도 고객정보를 처리하는 연계 홈페이지와 관련 시스템을 점검하고, 사건 간 연관성은 증거로 판단해야 합니다.
- 내부 접근의 목적과 패턴 확인하기: 접근권한 보유 여부뿐 아니라 실제 업무 필요성, 반복 조회와 비정상적인 조회량을 검토할 수 있어야 합니다.
- 피해 규모의 산정 근거 남기기: 피해 인원과 유출 항목의 집계 기준, 조사 범위, 추가 확인 사항을 구분해 관리해야 합니다.
- 인지·대응·통보 시점을 각각 기록하기: 침해 발생과 인지, 조치, 통지·신고는 서로 다른 단계입니다. 각 시점과 판단 근거를 기록하고 적용되는 법적 의무를 확인해야 합니다.
- 확인된 위험에 맞춰 피해자 안내하기: 실제 유출 항목과 악용 여부를 구분해 설명하고, 필요한 보호 조치와 후속 안내 경로를 제공해야 합니다.
참고한 기사
아래 자료를 바탕으로 여러 보도를 종합하여 작성했습니다.
OK저축은행 고객정보 268명 추가 유출, 모바일 수신서비스도 해킹 확인
- OK저축은행 고객정보 268명 추가 유출, 모바일 수신서비스도 해킹 확인
- OK저축은행서 '또 해킹사고' 고객 268명 정보 유출
- OK저축은행, 해킹 피해 '또' 확인…고객 268명 정보 추가 유출
- OK저축은행 3일 만에 또 뚫렸다… 268명 고객 정보 추가 유출
- OK저축은행, 해킹 피해 추가 고객 268명…총 518명으로
건보공단 직원이 개인정보 판매…피해자에 통보 안 됐다
예가람저축은행, 4만3246명 개인정보 유출…"해킹 14일 만에 인지"
\n