칼럼 · 기고 · 전자신문
해커의 탄약은
우리가 지우지 않은 과거다
은행권 해킹 사태, 디지털 장의사가 본 진짜 문제
《전자신문》 2026년 10월 14일자에 실린 기고문 전문입니다. (원저작권 전자신문·저자)
낯선 번호로 전화가 온다. 상대는 은행 직원이라며 내 이름을 부르고, 대출 한도가 얼마인지, 연소득이 얼마인지 정확히 읊는다. 이 정도로 아는 사람이 사기꾼일 거라고 선뜻 생각할 수 있을까. 나는 그러기 어렵다고 본다. 그리고 이런 전화가 앞으로 훨씬 흔해질 거라고 본다.
지난 9월 29일 이후 열흘 남짓, 은행 이름이 하루가 멀다 하고 '유출' 기사에 오고 있다. 신한은행에서는 대출 신청 고객 약 2만5천 명의 이름과 전화번호, 연소득, 대출 산출한도가 빠져나갔다. 일부는 주민등록번호와 연계정보(CI, 금융사들이 같은 사람임을 확인하는 고유 값)까지 포함됐다. 이튿날 국민은행과 하나은행에서도 유출이 확인됐고, 금융당국은 7개 금융사에서 같은 공격자 IP를 찾아냈다. AI 도구를 쓴 자동화 공격 가능성도 들여다보고 있다.
언론의 관심은 'AI 해킹'에 쏠려 있다. 국내 은행 공격에서 AI의 흔적이 나온 건 처음이니 그럴 만하다. 하지만 2013년부터 온라인에 남은 기록을 지워 온 내 눈에는 다른 것이 먼저 보인다. 이번 공격에 쓰인 재료는 새로 훔친 정보가 아니었다. 오래전에 새어 나가고도 아무도 치우지 않은 우리의 과거였다.
문을 연 열쇠는 이미 밖에 있었다
보안업계가 지목하는 수법은 크리덴셜 스터핑이다. 다른 곳에서 샌 아이디와 비밀번호를 로그인 창에 될 때까지 넣어 보는 방식이다. 신한은행에서는 대출모집인이 쓰는 모바일 간편조회 페이지가 뚫린 것으로 알려졌다.
해커는 은행 비밀번호를 알아내려고 애쓰지 않았다. 몇 해 전 어느 쇼핑몰이나 커뮤니티에서 흘러나간 계정 정보가 지워지지 않고 돌아다녔고, 그 비밀번호를 은행에서도 똑같이 쓰던 사람이 있었을 뿐이다. 지난해에도 같은 방식으로 한 유통 대기업 홈페이지에서 158만 명이 피해를 봤다. 그때 나간 기록이 지금 누구 손에 있는지는 아무도 모른다.
AI는 흩어진 조각을 순식간에 이어 붙인다
크리덴셜 스터핑 자체는 오래된 수법이다. AI가 바꾼 건 속도와 비용이다. 정보 수집, 취약점 탐색, 침투 시도처럼 사람이 며칠씩 하던 일을 AI 에이전트가 맡으면서 공격에 드는 시간과 인력이 크게 줄었다. 한 시중은행 정보보호 책임자는 AI가 대중화된 뒤 공격 빈도가 체감상 두세 배 늘었다고 말했다.
내가 더 무서워하는 건 그다음이다. 이번에 나간 연소득과 대출 한도는 '지금 돈이 급한 사람'을 골라내는 데 쓸 수 있는 정보다. 여기에 예전 사고로 흘러나간 주소, 가족관계, SNS 게시물이 붙으면 어떻게 될까. AI는 한 사람의 생활을 훤히 꿰는 프로필을 몇 분이면 만든다. 흩어진 조각을 맞추는 데 품이 너무 들어서 사실상 안전했던 정보들이 이제는 그렇지 않다.
그 프로필이 향하는 곳은 보이스피싱이다. AI로 만든 목소리와 얼굴로 가족이나 금융사 직원을 사칭하는 범죄는 이미 늘고 있다. 내 사정을 속속들이 아는 목소리를 의심하기란 쉽지 않다. 글머리의 그 전화가 바로 이 지점에서 나온다.
현장에서도 같은 변화가 느껴진다. 9월 말 은행권 유출 사고 이후 우리 회사에 들어오는 의뢰는 그 전보다 40% 늘었다.
“과장이다”라는 반론에 대해
이 사태를 부풀리면 안 된다는 목소리도 있다. 들어 볼 만하다.
먼저, 수천만 명이 털린 다른 사고에 비하면 이번 피해는 작고 인터넷·모바일뱅킹 금전 피해도 아직 확인되지 않았다는 점이다. 맞는 말이다. 다만 주민번호와 소득, 대출 한도가 한 묶음으로 나간 데이터는 범죄자에게 그대로 '잘 정리된 표적 명단'이다. 위험은 숫자보다 조합에서 나온다.
다음은 AI 개입이 아직 확인되지 않았고, 'AI 해킹'이라는 말이 비밀번호 재사용이나 허술한 외부 페이지 인증 같은 기본기 문제를 가린다는 지적이다. 이 부분은 나도 동의한다. 그래도 AI가 쓰였든 아니든 공격의 재료가 과거 유출 기록이었다는 사실은 달라지지 않는다.
마지막으로, 다크웹에 넘어간 데이터는 지울 수 없으니 디지털 장의사가 할 일이 없다는 시각이다. 원본을 지울 수 없다는 건 사실이다. 그래서 오히려 그 원본과 맞물릴 수 있는 공개된 조각을 줄이는 일이 중요해진다. 퍼즐 한 조각을 되찾을 수 없다면 나머지 조각을 치워서 그림이 완성되지 못하게 해야 한다.
막는 것만으로는 부족하다
개인에게. 비밀번호는 오늘 바꾸면 끝이다. 하지만 이미 인터넷에 남은 이름, 주소, 가족 이야기, 옛 게시물은 바꿀 수가 없다. 해커가 사람을 정확히 겨냥할 때 쓰는 재료가 바로 이것들이다. 지워서 줄이는 것이 유출 이후 개인이 할 수 있는 가장 확실한 대비다.
우선 안 쓰는 오래된 계정과, 실명과 연락처가 남아 있는 옛 게시물부터 정리하자. 그다음 각 은행이 연 유출 확인 메뉴에서 내가 해당되는지 보고, 여러 사이트에 같은 비밀번호를 쓰고 있다면 바로 바꾸자. 가능하면 2단계 인증이나 패스키(비밀번호 대신 지문·얼굴로 로그인하는 방식)로 옮기는 게 좋다. 그리고 내 대출 정보와 소득을 정확히 아는 전화일수록 일단 끊고 공식 대표번호로 다시 걸어야 한다.
금융사에게. 이번 공격은 대출모집인 페이지처럼 관리가 허술한 외곽을 정확히 노렸다. 외부 협력자용 페이지에도 고객과 같은 수준의 다중 인증이 필요하다. 상담이 끝난 개인신용정보를 웹 서버에 쌓아 둘 이유도 없다. 갖고 있지 않은 데이터는 털릴 수 없다. AI 공격은 AI로 막아야 한다는 원칙에도 속도를 내야 한다. 올해 은행권 모의해킹(은행이 일부러 해커처럼 공격해 보는 보안 점검) 가운데 AI 에이전트를 쓴 경우는 열 건 중 한 건 남짓이었다.
정부와 국회에게. 보유기간이 끝난 개인정보가 정말 지워졌는지 확인하는 장치가 필요하다. '파기했다'는 서류와 실제 삭제는 다른 문제다. 피해 보상이 금전 손해에서 멈추면 2차 피해는 막을 수 없다. 유출 이후의 노출 모니터링과 삭제 지원을 피해 구제 범위에 넣는 방안을 검토해 주기 바란다. 과징금 강화와 집단소송 논의도 필요하지만, 기업이 데이터를 덜 갖고 있을수록 이익이 되는 구조를 함께 고민할 때다.
잊힐 권리는 이제 보안의 언어다
나는 지나간 기록 때문에 오늘이 괴로운 수천 명의 사람들을 상담해 왔다. 그동안 잊힐 권리는 주로 명예와 평판의 언어로 이야기됐다. AI 시대에는 재산과 안전의 문제가 됐다.
누구도 자신의 과거 기록 때문에 현실이 괴로워서는 안 된다. 그 기록이 범죄의 탄약이 되는 세상이라면 더욱 그렇다.
UPDATE · 이 글이 나간 뒤
같은 날 오후, 피해 금융사는 16곳
유출은 10만건으로 늘었습니다.
이 칼럼이 나간 2026년 10월 14일, 금융위원회는 관계기관 합동 제2차 긴급 상황대응 회의 결과를 발표했습니다. 본문에 적은 숫자보다 피해가 커졌습니다.
당국이 꼽은 미흡 항목은 최신 보안패치 미적용, 기술지원이 종료된 노후 시스템 관리 미흡, 24시간 보안관제 체계 미구축, 그리고 외부 접속 시스템의 인증·접근통제 부실이었습니다.
“수차례 전수점검과 관리 강화를 주문했음에도 금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분이다. AI 공격은 AI로 방어하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도개선도 속도감 있게 추진하겠다.”
— 신진창 금융위원회 사무처장, 2026.10.14
금융위는 금융회사 전산시스템의 외부 접점을 전수 점검하고, 대형 금융회사의 보안 취약점 점검 주기를 연 1회에서 연 2회 이상으로 확대하며, 개별 금융회사가 탐지한 공격정보까지 금융권 통합관제시스템(FIRST)에서 공유하도록 개선하겠다고 밝혔습니다. 보안 역량이 부족한 중소형 금융회사에는 AI 기반 공동 보안관제 체계 구축을 검토합니다.
당국은 추가 침해 여부를 조사 중이어서 피해 금융회사는 더 늘어날 수 있습니다. 본인이 해당되는지는 각 금융회사가 안내하는 유출 확인 메뉴에서 조회하실 수 있습니다.
출처: 류태웅, “금융사 16곳 해킹·개인정보 10만건 유출…130곳 보안관리 부실”, 《전자신문》, 2026년 10월 14일 (지면 10월 15일자 2면). · 이 단락은 칼럼 게재 이후의 경과를 기록한 것으로, 기고문 본문은 수정하지 않았습니다.
출처: 김호진, “[기고] 해커의 탄약은 우리가 지우지 않은 과거다 — 은행권 해킹 사태, 디지털 장의사가 본 진짜 문제”, 《전자신문》, 2026년 10월 14일. 원문: etnews.com/20261014000048
함께 읽기 · AI는 당신을 잊지 않는다 · 아이들은 지우고 싶었다 · 해킹 · 분실로 사진이 유출됐을 때 · 내 정보가 어디까지 퍼졌는지 확인하기 · 산타크루즈컴퍼니 홈