한양증권 해킹으로 개인정보 31건 유출, 금융권 보안 사고가 반복되는 이유

금융회사에 맡겨둔 개인정보는 얼마나 안전할까요?

2026년 11월 3일, 한양증권에서 해킹으로 고객과 임직원 등의 개인정보가 유출된 사실이 알려졌습니다.

유출된 정보에는 이름과 계좌번호, 연락처뿐 아니라 주민등록번호와 운전면허번호도 포함됐습니다.

이번 사고에서 주목할 점은 해킹이 발생한 장소입니다.

한양증권의 핵심 주식거래 시스템이 아니라, 직원들이 업무에 사용하는 외부 그룹웨어 솔루션이 침해 경로로 지목됐습니다.

같은 그룹웨어를 사용하는 다른 금융회사에서도 보안 사고가 확인되면서 금융권의 외부 업무시스템 관리 문제가 주목받고 있습니다. 연합뉴스+1

이번 사고에서 어떤 정보가 유출됐는지, 금융회사들이 사용하는 외부 솔루션이 왜 보안상 중요한지, 개인정보 유출이 의심될 때 어떻게 대응해야 하는지 살펴보겠습니다.

한양증권 해킹 사고, 무슨 일이 발생했을까?

한양증권은 2026년 10월 29일 외부의 비정상적인 접근으로 일부 개인정보가 유출된 정황을 확인했습니다.

이후 11월 3일 관련 사실이 언론을 통해 보도됐습니다.

한양증권이 당시까지 확인한 유출 정보는 총 31건입니다.

구분	확인된 유출 건수
고객정보	15건
임직원 관련 정보	2건
일반 개인정보	14건
합계	31건

여기서 31건은 확인된 정보의 건수로, 반드시 31명의 개인정보가 유출됐다는 의미는 아닙니다.

유출된 항목은 정보마다 다르며, 주요 항목에는 이름, 계좌번호, 연락처, 주소, 생년월일, 이메일 주소, 주민등록번호, 운전면허번호 등이 포함됐습니다.

특히 주민등록번호가 포함된 정보는 3건으로 확인됐습니다.

보도에 따르면 이 3건은 증권사 고객이나 임직원의 정보가 아니라 업무상 시스템에 첨부된 부동산등기부등본 등에 포함된 일반인의 정보로 파악됐습니다. 연합뉴스

한양증권은 사고 이후 어떻게 대응했을까?

한양증권은 사고를 인지한 뒤 외부의 비정상적인 접근을 차단하고, 솔루션 공급사와 함께 긴급 보안 패치를 완료했다고 밝혔습니다.

관계기관에 신고하고 개인정보 유출이 확인된 고객에게도 개별적으로 안내했다고 설명했습니다.

다만 11월 5일 기준 정확한 최초 침입 시점과 구체적인 유출 경위 및 최종 범위는 조사 중입니다.

따라서 현재 확인된 31건을 최종 피해 규모로 단정하거나, 아직 확인되지 않은 추가 피해가 있었다고 추측해서는 안 됩니다.

해킹 경로로 지목된 ‘다우오피스’는 무엇일까?

이번 사고에서 관심을 받는 이름은 ‘다우오피스’입니다.

다우오피스는 다우기술이 제공하는 기업용 그룹웨어 솔루션입니다.

그룹웨어는 회사 직원들이 업무를 처리하고 서로 협업할 때 사용하는 시스템을 말합니다.

대표적으로 다음과 같은 기능을 제공합니다.

사내 메신저와 업무 소통
전자결재와 문서 승인
일정 및 업무 관리
파일과 업무자료 공유
조직과 직원 정보 관리

회사 내부에서 매일 사용하는 업무용 소프트웨어라고 생각하면 이해하기 쉽습니다.

그런데 이러한 시스템에도 중요한 개인정보가 저장될 수 있습니다.

고객 상담자료나 업무 관련 문서, 계약에 필요한 첨부파일이 그룹웨어에 보관될 수 있기 때문입니다.

문제는 핵심 금융거래 시스템이 아니더라도 업무에 필요한 자료가 모여 있는 시스템이 공격 대상이 될 수 있다는 점입니다.

같은 솔루션을 사용하는 다른 회사도 피해를 입었을까?

한양증권에 앞서 가상자산거래소 빗썸에서도 다우오피스를 통한 개인정보 유출 사고가 확인됐습니다.

이에 금융감독원은 10월 30일 금융권에 관련 취약점을 공유하고 긴급 보안 패치 적용을 당부했습니다.

11월 4일에는 다우오피스를 사용하는 금융회사의 보안 조치 여부를 확인하고, 패치 적용 등 후속 조치 결과를 보고하도록 요청한 사실도 보도됐습니다. 연합뉴스

다만 같은 솔루션을 사용했다는 사실만으로 두 회사의 공격 방식이나 모든 침해 경로가 동일했다고 단정할 수는 없습니다.

각 사고에서 어떤 취약점이 악용됐고, 어떤 정보가 실제로 유출됐는지는 조사 결과를 구분해서 살펴봐야 합니다.

금융회사 자체 시스템이 아니라 외부 솔루션이 왜 문제가 될까?

금융회사는 고객의 계좌와 거래 정보를 보호하기 위해 여러 보안 시스템을 운영합니다.

하지만 금융회사의 업무는 주식거래 시스템 하나로 끝나지 않습니다.

직원들은 외부 업체가 만든 그룹웨어나 문서 관리 시스템, 고객 상담 도구 등 다양한 소프트웨어를 사용합니다.

이러한 시스템이 회사의 중요한 업무자료와 연결되어 있다면 공격자가 접근할 수 있는 경로도 늘어날 수 있습니다.

예를 들어 고객의 신분을 확인하기 위해 받은 문서를 업무 담당자가 그룹웨어에 첨부했다고 가정해 보겠습니다.

해당 문서에는 고객의 이름이나 연락처, 주소 등이 포함될 수 있습니다.

이때 외부 업무시스템이 침해되면 핵심 거래 데이터베이스에 직접 접근하지 않더라도 첨부된 문서의 개인정보가 노출될 위험이 있습니다.

이처럼 기업이 사용하는 외부 소프트웨어나 협력업체를 통해 보안 위험이 발생할 수 있다는 점은 정보보호에서 중요한 문제입니다.

외부 솔루션을 사용하면 위험하다는 뜻일까?

그렇지는 않습니다.

외부 솔루션을 사용한다는 사실 자체가 보안 사고의 원인은 아닙니다.

전문 업체의 소프트웨어를 사용하면 기업이 모든 기능을 직접 개발하고 유지보수하지 않아도 되는 장점이 있습니다.

다만 기업은 외부 솔루션도 자체 시스템과 마찬가지로 관리해야 합니다.

대표적으로 접근 권한 제한, 보안 업데이트 적용, 불필요한 개인정보 저장 최소화, 이상 접근 탐지 등이 중요합니다.

외부 업체가 만든 시스템이라는 이유로 보안 관리 책임이 사라지는 것은 아닙니다.

계좌번호와 주민등록번호가 유출되면 어떤 위험이 있을까?

개인정보 유출 사고가 발생했을 때 가장 먼저 확인해야 할 것은 어떤 정보가 노출됐는지입니다.

이름이나 이메일 주소가 노출된 상황과 주민등록번호, 금융 관련 정보가 함께 노출된 상황은 위험의 성격이 다를 수 있습니다.

이름과 연락처가 유출된 경우

이름과 전화번호가 유출되면 이를 이용한 스팸이나 피싱 시도가 발생할 수 있습니다.

예를 들어 공격자가 특정 금융회사 고객이라는 사실을 알고 있다면 해당 금융회사의 직원을 사칭해 연락할 가능성이 있습니다.

“고객님의 계좌가 위험하니 본인확인이 필요합니다”라는 식의 메시지를 보내면서 개인정보 입력을 유도할 수 있습니다.

물론 개인정보가 유출됐다는 이유만으로 이러한 연락이 반드시 발생하는 것은 아닙니다.

계좌번호가 유출된 경우

계좌번호가 알려졌다고 해서 공격자가 곧바로 해당 계좌에서 돈을 인출할 수 있는 것은 아닙니다.

일반적으로 금융거래에는 추가 인증이나 접근 권한이 필요합니다.

하지만 계좌번호와 이름, 연락처 등 다른 정보가 함께 노출되면 피해자를 속이는 데 악용될 위험이 있습니다.

따라서 계좌번호가 유출됐다면 단순히 번호가 알려졌다는 사실보다 다른 정보와 결합해 어떤 사기가 시도될 수 있는지 주의해야 합니다.

주민등록번호나 운전면허번호가 유출된 경우

주민등록번호와 운전면허번호는 개인을 식별하는 데 사용되는 중요한 정보입니다.

이러한 정보가 유출되면 명의도용이나 신분 확인을 악용한 사기 위험을 고려해야 합니다.

다만 해당 번호 하나만으로 모든 금융거래가 가능한 것은 아닙니다.

실제 피해 가능성은 추가로 유출된 정보, 금융회사의 본인확인 절차, 공격자가 확보한 다른 수단 등에 따라 달라집니다.

개인정보가 유출됐다면 어떤 사기를 조심해야 할까?

개인정보 유출 자체도 문제지만, 이후 발생할 수 있는 2차 피해를 주의해야 합니다.

특히 금융회사 고객을 대상으로 한 맞춤형 피싱은 조심할 필요가 있습니다.

예를 들어 다음과 같은 상황입니다.

누군가 금융회사 직원을 사칭해 전화하면서 실제 고객의 이름을 정확하게 부릅니다.

이어 계좌번호 일부나 이용 중인 금융회사 이름을 언급하며 신뢰를 얻으려 할 수 있습니다.

그런 다음 비밀번호 변경이나 보안 프로그램 설치가 필요하다며 가짜 사이트 접속을 유도하는 방식입니다.

이런 연락을 받았다면 주의하세요

계좌가 해킹됐다며 특정 링크에서 즉시 로그인하도록 요구하는 경우
안전한 계좌로 돈을 옮겨야 한다고 안내하는 경우
고객센터 직원이라며 인증번호나 계좌 비밀번호를 요구하는 경우
보안 업데이트를 이유로 출처가 불분명한 앱 설치를 유도하는 경우

이러한 연락을 받았다면 통화를 종료하고 금융회사의 공식 앱이나 대표 고객센터를 통해 직접 확인하는 것이 좋습니다.

문자에 포함된 링크를 그대로 이용하거나 상대방이 알려준 번호로 다시 전화하는 것은 피하세요.

내 개인정보가 유출됐는지 확인하는 방법

한양증권의 고객이라고 해서 모든 고객의 개인정보가 유출된 것은 아닙니다.

11월 3일 보도에 따르면 한양증권은 유출이 확인된 고객에게 개별적으로 안내했다고 밝혔습니다.

본인이 유출 대상인지 궁금하다면 한양증권의 공식 고객센터나 앱을 통해 확인하는 것이 우선입니다.

이와 별도로 평소 개인정보 유출 여부를 점검할 수 있는 서비스도 있습니다.

1. 털린 내 정보 찾기 서비스

개인정보보호위원회와 한국인터넷진흥원은 ‘털린 내 정보 찾기 서비스’를 운영하고 있습니다.

이 서비스는 다크웹 등에서 유통되는 계정정보의 유출 여부를 확인하는 데 사용됩니다.

털린 내 정보 찾기 서비스

이메일 인증 등 본인확인 절차를 거친 뒤 계정정보를 입력해 조회할 수 있습니다.

단, 이 서비스는 주로 아이디·이메일과 비밀번호의 유출 여부를 확인하는 서비스입니다.

한양증권 사고의 피해 대상인지 확인하거나, 주민등록번호·계좌번호가 이번 사고로 유출됐는지 직접 조회하는 서비스는 아닙니다. kidc.eprivacy.go.kr

2. 금융결제원 어카운트인포

금융결제원의 어카운트인포에서는 본인 명의 금융계좌 등을 한곳에서 조회할 수 있습니다.

어카운트인포 공식 홈페이지

본인이 모르는 금융계좌가 개설되어 있는지 등을 점검하는 데 활용할 수 있습니다.

다만 이 서비스도 개인정보 유출 여부를 직접 판정하는 기능은 아닙니다. KFTC Open API

금융정보 유출이 걱정된다면 해야 할 일

개인정보가 유출됐다는 안내를 받았다면 먼저 어떤 정보가 포함됐는지 확인하세요.

그다음 유출된 항목과 실제 피해 정황에 맞춰 필요한 보호 조치를 선택하는 것이 좋습니다.

1. 금융회사에서 받은 유출 안내 확인하기

공식 홈페이지나 고객센터에서 유출 사실을 확인하고, 본인에게 해당하는 유출 정보의 종류를 살펴보세요.

단순히 관련 뉴스가 나왔다는 이유만으로 자신의 계좌가 침해됐다고 판단할 필요는 없습니다.

2. 계좌 거래 내역 확인하기

금융회사 앱에서 최근 거래 내역과 입출금 기록을 확인하세요.

본인이 진행하지 않은 거래가 있다면 즉시 해당 금융회사에 연락해야 합니다.

3. 비밀번호와 로그인 기록 확인하기

계정 비밀번호나 로그인 인증정보가 유출됐다고 안내받았거나 의심스러운 로그인이 확인됐다면 비밀번호를 변경하고 다른 기기의 로그인 세션을 점검하세요.

다만 이번 한양증권 보도에서 계정 비밀번호가 유출됐다는 사실은 확인되지 않았습니다.

따라서 사고와 관련된 모든 금융계정의 비밀번호가 유출됐다고 단정해서는 안 됩니다.

4. 개인정보노출자 사고예방시스템 활용하기

금융감독원은 금융사고를 예방하기 위한 ‘개인정보노출자 사고예방시스템’을 운영하고 있습니다.

금융감독원 개인정보노출자 사고예방시스템

개인정보 노출 사실을 등록하면 금융회사에서 신규 계좌 개설이나 대출, 신용카드 발급 등과 관련된 금융거래를 처리할 때 추가적인 보호 조치가 적용될 수 있습니다.

개인정보 유출로 명의도용이 우려되는 상황에서 활용할 수 있습니다.

다만 등록하면 정상적인 금융거래에도 제한이 발생할 수 있으므로 이용 방법과 해제 절차를 확인하는 것이 좋습니다. Msafer

5. 실제 피해가 발생했다면 즉시 신고하기

본인이 승인하지 않은 금융거래가 발생했거나 명의도용이 확인됐다면 금융회사에 즉시 알리고 필요한 지급정지 등 보호 조치를 요청해야 합니다.

금융감독원 상담전화 1332를 통해 금융 관련 피해 대응 방법도 안내받을 수 있습니다.

금융회사 해킹 사고는 왜 반복될까?

금융회사는 은행 계좌나 증권 거래처럼 중요한 정보를 다루기 때문에 보안 수준이 높은 편입니다.

그런데도 해킹 사고가 발생하는 이유는 금융회사가 사용하는 시스템의 범위가 매우 넓기 때문입니다.

핵심 거래 시스템뿐 아니라 외부 연계 서버, 업무지원 솔루션, 협력업체 시스템 등 다양한 접점이 존재합니다.

이번 한양증권 사고는 그중에서도 외부 그룹웨어를 통한 침해가 확인된 사례입니다.

금융회사의 모든 시스템을 동일한 수준으로 보호하기는 어렵다

기업의 보안은 하나의 시스템만 안전하게 만들었다고 완성되지 않습니다.

외부에서 접근할 수 있는 업무시스템, 직원 계정, 첨부파일 저장 공간, 소프트웨어 업데이트 관리 등 다양한 부분을 함께 점검해야 합니다.

특히 외부 업체의 소프트웨어에서 취약점이 발견되면 해당 제품을 사용하는 여러 기업이 영향을 받을 가능성도 있습니다.

다만 취약한 제품을 사용한다는 사실과 실제 침해가 발생했다는 사실은 구분해야 합니다.

개인정보는 필요한 곳에만 보관해야 한다

이번 사고에서 눈여겨볼 부분은 업무상 첨부된 문서에 일반인의 개인정보가 포함되어 있었다는 점입니다.

업무를 처리하는 데 필요하더라도 개인정보가 여러 시스템에 불필요하게 복제되어 있다면 관리해야 할 대상도 늘어납니다.

따라서 기업은 민감한 문서를 필요한 기간 동안만 보관하고, 접근할 수 있는 직원을 제한하며, 보관 목적이 끝난 정보는 적절하게 파기하는 등의 관리가 중요합니다.

이러한 조치는 특정 해킹 공격을 막는 것뿐 아니라 사고가 발생했을 때 노출될 수 있는 정보의 범위를 줄이는 데도 도움이 됩니다.

이번 사고에서 확인된 사실과 아직 확인되지 않은 내용

보안 사고는 초기 발표 이후 조사 결과에 따라 피해 범위나 원인에 대한 설명이 달라질 수 있습니다.

따라서 현재 확인된 내용과 조사 중인 내용을 구분해서 이해해야 합니다.

항목	2026년 11월 5일 기준
개인정보 유출 발생	확인됨
확인된 유출 정보	총 31건
외부 그룹웨어 침해	확인됨
관련 솔루션	다우오피스
외부 접근 차단 및 긴급 패치	회사 측 완료 발표
정확한 최초 침입 시점	조사 중
최종 유출 범위	조사 중
추가 금전 피해	확인된 사실 없음

11월 4일 금융당국은 다우오피스를 이용하는 금융회사에 관련 취약점을 공유하고 보안 조치를 당부했습니다.

이에 따라 다른 금융회사들의 보안 점검과 사고 조사 결과도 지속적으로 확인할 필요가 있습니다. 연합뉴스

개인정보 유출 사고, 이용자는 무엇을 기억해야 할까?

한양증권 해킹 사고는 고객의 금융정보뿐 아니라 업무용 시스템에 보관된 문서도 침해 대상이 될 수 있다는 점을 보여줍니다.

현재까지 확인된 유출 규모는 31건으로, 금융회사 전체 고객의 정보가 유출된 것은 아닙니다.

하지만 유출 항목에 계좌번호와 주민등록번호 등 중요한 개인정보가 포함됐다는 점에서 주의할 필요가 있습니다.

금융회사 이용자는 평소 계정 보안을 관리하고, 개인정보 유출 안내를 받았다면 유출된 항목과 실제 거래 내역을 확인하는 것이 좋습니다.

특히 금융회사 직원을 사칭해 인증번호나 비밀번호를 요구하거나 다른 계좌로 돈을 옮기라고 안내한다면 주의해야 합니다.

이번 사고의 핵심은 금융회사의 보안이 핵심 거래 시스템뿐 아니라 외부 업무용 소프트웨어와 그 안에 저장된 자료까지 포함해야 한다는 점입니다.

기업의 철저한 보안 관리와 이용자의 주의가 함께 이루어져야 개인정보 유출에 따른 피해를 줄일 수 있습니다.