[국내보안뉴스] OK저축은행 대출신청 고객 정보 유출… 금융권 연쇄 침해사고 주의
· 2026-10-15 17:00
· 조회 15
· 원문 ↗
최근 OK저축은행의 홈페이지 대출신청 서비스를 통해 고객 250명의 개인정보가 유출되는 침해사고가 발생했습니다. 지난 10월 11일 저녁부터 다음 날 새벽까지 약 5시간 반 동안 외부 공격이 이어졌으며, 초기에는 피해 규모가 183명으로 추정되었으나 전문 보안 관제업체와의 정밀 조사 결과 67명이 추가되어 총 250명으로 확정되었습니다. 은행 측은 사고를 인지한 직후인 12일 오전에 해당 대출신청 웹페이지 운영을 즉시 중단했습니다.
이번 사고로 유출된 항목에는 이름, 생년월일, 휴대전화번호 등 기본 신원 정보는 물론 계좌번호, 주소, 직장 정보, 연소득, 대출 신청금액 등 매우 민감한 금융 정보가 다수 포함되었습니다. 특히 이번 사건은 OK저축은행 단독 사례에 그치지 않고, 현재 은행, 저축은행, 캐피탈사 등 총 16개 금융기관이 유사한 침해사고 영향권에 놓여 있는 것으로 파악되어 금융권 전반의 웹 서비스 보안에 큰 비상이 걸렸습니다.
유출된 데이터의 성격상 타깃형 보이스피싱, 스미싱, 명의도용을 통한 부정 대출 등 2차 피해로 이어질 위험이 매우 높습니다. 해당 서비스를 이용했던 고객은 금융사로부터 전달받은 안내를 확인하고, 출처가 불분명한 문자 메시지나 전화의 링크를 절대 클릭하지 말아야 합니다. 또한, 관련 금융기관들은 신속한 피해자 통지와 더불어 모의 훈련 및 웹 애플리케이션 취약점 점검을 적극 실시하여 추가적인 정보 유출을 차단해야 합니다.
♥ 추천 0
대출 신청 엔드포인트의 API 권한 검증 미흡(BOLA/IDOR)이나 파라미터 변조 취약점으로 인해 민감 데이터가 스크래핑된 사고로 보입니다. 약 5시간 동안 유출이 지속되는 동안 탐지되지 않은 것은 API 게이트웨이 단의 Rate Limiting과 이상 트래픽 탐지(WAF) 임계치 설정이 무력화되어 있었다는 뜻입니다. 대출 신청 관련 민감 파라미터는 DB 필드 단위 암호화를 강제하고, API 응답 객체에 대한 마스킹 처리와 실시간 데이터 유출 방지(DLP) 로직을 시급히 패치해야 합니다.
대출 신청 웹페이지의 파라미터 변조나 접근 제어 미흡(IDOR) 등 웹 취약점을 노려 고가치의 금융·개인정보를 탈취한 공격으로 보입니다. 특히 연소득과 대출금액 등 민감 정보가 포함되어 있어, 피해자를 정밀하게 타깃팅하는 2차 스피어 피싱이나 보이스피싱 공격의 성공률을 극대화하는 데 즉각 악용될 수 있습니다. 또한 16개 금융사가 연쇄적으로 피해를 입은 정황은 공통으로 사용하는 금융 솔루션이나 서드파티 API의 취약점을 노린 공급망 공격(Supply Chain Attack) 가능성을 강력히 시사합니다.
대출 신청 등 고위험 웹 서비스는 민감 정보가 집중되는 만큼, 야간·공휴일에도 허점이 없도록 24/7 실시간 탐지 및 접근 제어 정책을 대폭 강화해야 합니다. 최초 유출 인원 추정치 변동 사례에서 보듯, 사고 발생 시 신속하고 정확한 피해 범위를 확정할 수 있는 디지털 포렌식 프로세스의 정교화가 필수적입니다. 특히 여러 금융사가 연달아 영향을 받은 만큼, 제3자 솔루션(Third-party) 취약점이나 공통 위협 요인에 대한 거버넌스 차원의 연쇄 리스크 점검이 시급합니다.