한국 금융보안연구원(FSI)은 국가 금융 부문을 보호하는 기관으로, 수십 개 금융사의 직원 300여 명에 해당하는 개인 기록이 유출됐다고 확인했습니다. 이번 침해는 2026년 11월 9일 월요일에 발견됐으며, 연구원은 즉시 해당 시스템을 차단하고 규제기관 및 영향을 받은 기업에 통보했습니다.

공격자 진입 경로

crypto.news와 Cryptopolitan에 따르면, 공격자는 금융감독원(FSS) 관계자를 사칭하고 SMS 기반 2단계 인증이 불가능한 상황에 대비해 마련된 임시 접근 페이지를 악용했습니다. 이 대체 로그인 경로는 기존 인증 절차를 우회해 가짜 FSS 계정이 규제기관 수준의 권한을 획득해 여러 기관의 문서를 열람할 수 있게 했습니다.

노출된 데이터 범위

침해된 플랫폼은 금융사가 보안 평가 문서를 제출하는 연속 평가 지원 시스템(Continuous Evaluation Support System)입니다. 조사 결과 약 200건의 행정 양식, 이름·생년월일이 포함된 약 300건의 개인 기록, 그리고 부분적으로 마스킹된 식별자를 가진 약 350건의 시스템 사용자 기록이 유출된 것으로 파악됐습니다. 대부분은 해당 기업의 보안 검토 담당 직원에 관한 정보이며, 고객 신용·거래 정보는 유출되지 않았습니다.

공식 대응 및 조사

연구원은 이번 사건을 금융위원회와 한국인터넷진흥원에 보고했으며, 경찰은 11월 10일 사용된 IP 주소 등 기술적 세부 정보를 입수했습니다. 규제당국은 11월 11일 FSI의 보안 체계에 대한 현장 점검을 시작해 가짜 계정이 어떻게 규제기관 수준의 접근 권한을 얻었는지 조사하고 있습니다. 연구원은 인증 절차를 재검토하고 유출로 추가 피해를 입은 개인에게 보상을 약속했습니다.

향후 전망

당국은 유출된 인증 정보의 출처와 이번 침해가 한국 금융 부문의 사이버 방어 전반에 어떤 취약점을 드러냈는지 계속 조사할 예정입니다. 또한, 비트코인·가상자산 거래소인 빗썸과 고팍스 등 올해 별도 보안 사고를 겪은 거래소들의 추가 공시도 주시할 것입니다.

FAQ

FSI 침해 사건에서 목표가 된 시스템은 무엇인가요?

공격자는 금융사가 보안 평가를 위해 사용하는 온라인 플랫폼인 연속 평가 지원 시스템(Continuous Evaluation Support System)에 접근했습니다.

이번 침해로 고객의 금융 데이터가 유출됐나요?

아니요, 보고서에 따르면 고객 신용 정보, 거래 기록, 네트워크 구성 데이터 등은 유출되지 않았습니다.

조사 결과는 언제 발표되나요?

규제당국은 현장 점검을 진행 중이며, 보안 감사가 완료된 후 결과를 발표할 예정이지만 구체적인 날짜는 아직 정해지지 않았습니다.