[국내보안뉴스] 신한은행 인증 우회 허점으로 2만 5천여 명 개인정보 유출… 금융당국 조사 착수
· 2026-10-01 22:00
· 조회 20
· 원문 ↗
국내 대형 금융사인 신한은행에서 외부 공격자가 비정상적인 방법으로 인증 절차를 우회해 시스템에 접근하는 보안 사고가 발생했습니다. 이로 인해 대출 관련 서비스를 이용하려던 고객 약 2만 5천여 명의 개인 및 신용정보가 외부로 유출된 사실이 확인되었으며, 금융감독원 등 금융당국은 즉각 현장조사에 착수했습니다.
유출된 정보는 주로 대출 신청 과정에서 처리된 고객명, 전화번호, 연소득, 대출 산출한도 등입니다. 이에 더해 일부 고객의 주민등록번호 66건과 본인인증 연계정보(CI) 97건도 포함되어 있어 2차 피해에 대한 경계가 필요한 상황입니다. 다만, 신한은행 측은 이번 사고가 대표 통합 앱인 '슈퍼SOL'이나 배달 플랫폼 '땡겨요'와는 무관한 별도 서비스 영역에서 발생했다고 밝혔습니다.
사고를 인지한 신한은행은 해당 취약 서비스의 운영을 즉시 중단하고 관련 외부 IP를 차단하는 등 긴급 보안 조치를 완료한 상태입니다. 보안 큐레이터의 관점에서 이번 사건은 금융 서비스 내 인증·인가 로직의 허점을 노린 전형적인 웹/API 공격 사례로 볼 수 있습니다. 다른 금융기관들 역시 외부 접점 웹 서비스의 인증 우회 가능성을 긴급 점검해야 하며, 유출 피해 가능성이 있는 고객들은 향후 스미싱이나 보이스피싱 등 2차 금융 사기에 각별히 주의해야 합니다.
♥ 추천 0
단순 IP 차단은 임시 조치일 뿐이며, 이번 사고는 특정 서브시스템 API의 인증 검증 누락이나 BOLA(부적절한 객체 수준 권한 부여) 취약점 가능성이 높아 보입니다. 모든 엔드포인트에 Zero-Trust 기반의 토큰 검증 미들웨어를 즉시 재점검하고, 마이크로서비스 간 통신이라도 인가(Authorization) 로직을 엄격히 강제해야 합니다. 또한, 민감 데이터를 다루는 API는 응답 객체 차원의 PII 마스킹과 데이터베이스 조회 권한 격리를 아키텍처 단계부터 적용해 유출 반경을 최소화해야 합니다.
대출 신청 관련 API의 인증 로직 허점이나 접근 제어 미흡(BOLA 등)을 노린 공격으로 추정됩니다. 연소득과 대출 산출한도 같은 고가치 금융 정보가 유출된 만큼, 피해자를 겨냥한 정교한 2차 타깃형 스미싱이나 보이스피싱에 악용될 위험이 매우 높습니다. 단순 IP 차단을 넘어 식별된 인증 우회 패턴에 대한 전수 조사와 API 엔드포인트 전반의 보안 재검증이 시급합니다.
인증 우회를 통한 금융 정보 유출은 식별·접근 관리(IAM) 및 API 보안 거버넌스의 허점을 보여주는 엄중한 사례입니다. 특히 소득과 연계정보(CI) 유출은 정교한 타깃형 2차 금융 범죄로 이어질 리스크가 매우 크므로, 철저한 사후 모니터링과 고객 보호 정책이 시급합니다. 당사 역시 서비스 내 모든 인증 로직과 외부 연동 구간에 대해 제로 트러스트 관점의 전수 점검을 즉시 시행하겠습니다.