외주망이 만든 금융권 보안 비용
2026년 10월 국내 금융권과 대학에서 확인된 개인정보 유출은 보안 사고의 중심이 어디로 옮겨갔는지를 선명하게 드러냈다. 은행 본점의 핵심 전산망보다 등록금 수납 시스템, 대출 조회 서비스, 업무 지원 시스템 같은 외부 연결부가 먼저 흔들렸다.
시장 관점에서 더 큰 문제는 피해 기관의 규모가 아니라 비용 구조다. 보안 투자를 많이 한 대형 기관도 위탁망 관리가 느슨하면 사고 비용을 피하기 어렵다는 사실이 이번 사건으로 다시 확인됐다.
이번 사건의 핵심은 이른바 쪽문 해킹이 단순 침입 수법을 넘어 산업 생태계의 약한 고리를 겨냥했다는 데 있다. 국립부경대학교는 10월 20일 해킹 사실을 인지했고, 해커는 10월 17일부터 이틀간 등록금 수납 관리 시스템인 캠퍼스e모아시스템에 무단 접근했다. 유출 정보는 학생 5천 명 이상의 이름, 학번, 가상계좌 정보였다.
KBS가 2026년 10월 29일 보도한 내용에 따르면 이 시스템은 부경대와 연계한 수협은행이 관리했지만 실제 운영은 은행이 맡긴 데이터 전문기업이 담당했다. 해커는 바로 이 외부 업체의 시스템 보안 취약점을 뚫고 정보를 빼낸 것으로 조사됐다.
이 구조는 디지털 전환 이후 금융·교육기관이 맞닥뜨린 공통 숙제를 보여준다. 은행과 대학은 비용 효율, 전문성, 운영 속도를 이유로 데이터 처리와 서비스 운영을 외부 업체에 맡긴다. 문제는 책임의 경계가 계약서에는 남지만 공격자의 경로에는 남지 않는다는 점이다.
해커는 조직도상 중심 기관을 직접 뚫지 않아도, 연결된 수탁사의 취약점을 통과해 같은 수준의 민감 정보에 닿을 수 있다. 계약 관계가 곧 보안 경계가 아니라는 사실을 이번 사건이 다시 한번 증명한 셈이다. 신한은행 사례는 이 위험이 대학 행정망에만 머물지 않는다는 점을 보여준다.
KBS 보도에 따르면 신한은행 대출 조회 서비스에서는 고객 2만 5천여 명의 정보가 유출됐다.
광고
부산은행 등에서는 업무 지원 시스템 공격으로 직원 정보가 빠져나갔다. 세 사건의 공통점은 핵심 전산망이 아니라 외부 위탁 업체와 이어진 연결망을 공격 통로로 삼았다는 점이다.
같은 방식의 공격이 업종과 기관 규모를 가리지 않고 반복됐다는 사실은, 이 취약점이 특정 기관의 실수가 아니라 구조적 문제임을 시사한다. 수치 자체만 보면 5천 명과 2만 5천여 명은 초대형 유출 사고와 비교해 작아 보일 수 있다. 그러나 산업적 의미는 유출 규모보다 공격 지점에 있다.
금융권은 그동안 코어뱅킹, 인증, 결제 같은 중심 시스템에 보안 예산을 집중해 왔다. 이제 비용의 무게중심은 본관 서버실에서 협력사 접속 계정, 응용프로그램 인터페이스(API), 업무 지원 도구, 데이터 이전 절차로 이동하고 있다. 보안 예산의 지형이 바뀌었음에도 관리 관행이 제자리를 맴도는 곳에서 이번 같은 사고가 반복된다.
기업 전략 측면에서 이번 사고는 보안 투자를 장비 구매나 내부 관제 인력 확충만으로 설명할 수 없게 만들었다. 위탁 운영 비중이 높아질수록 보안 성과는 가장 강한 조직이 아니라 가장 약한 연결 지점이 결정한다. 은행이 아무리 내부망 접근통제를 강화해도 수탁사가 같은 수준의 취약점 점검과 권한 관리를 하지 않으면 정보는 다른 경로로 빠져나간다.
이는 공급망(Supply Chain) 보안이 제조업 부품 조달의 문제가 아니라 금융·교육 데이터 운영의 핵심 변수로 바뀌었다는 뜻이다. 핵심 시스템의 철벽 방어만으로는 외부 연결망의 구멍을 막을 수 없다.
대학·은행 연결망 리스크 확대
투자자와 경영진이 읽어야 할 대목도 여기에 있다. 개인정보 유출은 과징금이나 배상 가능성만 만들지 않는다. 고객 통지, 포렌식(Forensic) 조사, 서비스 중단 대응, 콜센터 증설, 브랜드 신뢰 회복 비용이 뒤따른다.
광고
특히 금융사는 대출 조회와 계좌 관련 정보가 유출됐을 때 고객 이탈과 추가 인증 비용을 함께 떠안는다. 대학 역시 학생 정보 보호 실패가 등록금 수납, 장학금, 산학협력 시스템의 운영 신뢰를 흔드는 요인이 될 수 있다. 사고 이후의 비용이 절감했던 보안 예산을 훌쩍 초과하는 사례가 반복되고 있음에도, 계약 단가 낮추기 관행은 좀처럼 바뀌지 않는다.
염흥열 순천향대 정보보호학과 교수는 KBS 보도에서 "위탁 업체로 넘어가는 모든 정보들이 수탁 업체에도 똑같은 취약점들이 존재할 경우 재유출될 가능성이 있다"고 지적했다. 이 발언은 특정 기관을 향한 비판을 넘어 위탁 데이터의 생애주기 관리가 취약하다는 경고로 읽힌다. 데이터가 기관 안에서 안전하게 출발해도 복제, 이전, 운영, 백업 단계에서 통제 수준이 낮아지면 보호 체계 전체가 약해진다.
수탁사 한 곳의 취약점이 발주기관 전체의 보안을 무력화할 수 있다는 경고다. 반론도 있다.
모든 업무를 내부화하면 비용이 급증하고, 대학이나 지역 금융기관은 전문 인력을 충분히 확보하기 어렵다는 주장이다. 이 지적은 현실적이다. 다만 이번 사고가 보여준 문제는 외주 자체가 아니라 외주 보안의 가격을 제대로 계산하지 않은 운영 방식이다.
계약 단가를 낮추는 과정에서 보안 점검, 로그 보관, 접근권한 검증, 사고 통지 의무가 후순위로 밀리면 절감한 비용보다 사고 후 비용이 더 커진다. 외주를 선택하되, 보안 비용을 외주 단가 안에 명확히 포함시키는 계약 구조로 바꾸는 것이 현실적 대안이다. 따라서 시장의 대응은 보안 솔루션 판매 확대보다 거버넌스 재편으로 이어질 가능성이 크다.
은행과 대학은 수탁사를 선정할 때 기능 구현 능력과 가격만 비교하는 관행을 줄이고, 침투 테스트(Penetration Test), 취약점 패치 주기, 관리자 계정 통제, 데이터 암호화 범위를 계약 평가 항목으로 끌어올릴 필요가 있다.
광고
보안 기업에는 새로운 수요가 생긴다. 단일 기관 내부망 감시보다 여러 협력사를 묶어 위험을 점수화하고, 접속 경로를 지속 검증하는 서비스가 더 높은 사업성을 얻을 수 있다. 공급망 보안을 하나의 독립된 서비스 시장으로 보는 시각이 본격화될 전망이다.
이번 사건은 제로트러스트(Zero Trust) 논의도 다시 끌어냈다. 제로트러스트는 내부와 외부를 이분법으로 나누지 않고 모든 접속을 검증하는 보안 모델이다.
그동안 국내 조직 상당수는 이 개념을 원격근무나 클라우드(Cloud) 보안의 문제로 좁게 봤다. 그러나 부경대, 신한은행, 부산은행 등에서 드러난 연결망 사고는 위탁사 계정과 업무 시스템 접속도 같은 원칙으로 관리해야 한다는 사실을 보여준다. 제로트러스트를 내부망 전략이 아니라 외부 협력사 접속 전반으로 확장하는 작업이 이제 선택이 아닌 필수가 됐다.
투자 우선순위 된 수탁사 관리
소비자에게도 실질적 영향이 남는다. 부경대는 현재까지 개인정보 유출로 인한 신고가 접수되지 않았다고 밝혔고, 은행 및 데이터 기업과 협력해 재발 방지책을 마련하겠다고 했다. 이 사실은 피해가 없다는 뜻이 아니라 아직 확인된 2차 피해 신고가 없다는 뜻으로 해석하는 편이 정확하다.
학생과 고객은 가상계좌, 대출 조회, 직원 정보처럼 당장 금융거래 비밀번호가 아니더라도 피싱(Phishing)이나 사칭 연락의 단서로 쓰일 수 있는 정보가 빠져나갔다는 점을 의식할 필요가 있다. 이름과 가상계좌, 학번이 결합하면 학교 행정을 사칭한 접근에 악용될 여지가 충분하다. 한국 IT 산업에는 더 근본적인 숙제가 남았다.
디지털 서비스는 기관 하나가 단독으로 만드는 상품이 아니라 은행, 대학, 클라우드 사업자, 데이터 운영사, 보안 업체가 나눠 운영하는 조립형 인프라가 됐다.
광고
그런데 보안 책임 체계는 여전히 발주기관 중심으로 설명되는 경우가 많다. 이번 쪽문 해킹은 보안 예산의 다음 목적지가 더 많은 장비가 아니라 연결된 기업들의 통제 수준을 같은 선으로 끌어올리는 체계라는 점을 드러냈다.
조립형 인프라의 보안은 가장 약한 부품이 결정한다는 원칙이 금융·교육 분야에도 예외 없이 적용된다. 필자는 이번 사고를 단발성 개인정보 유출보다 시장 가격표가 다시 쓰이는 신호로 본다. 앞으로 금융·교육기관의 경쟁력은 앱 편의성이나 수수료 조건만으로 평가받기 어렵다.
고객과 학생의 데이터가 어느 협력사로 이동하고, 그 협력사가 어떤 권한으로 시스템에 접속하며, 사고가 났을 때 얼마나 빨리 차단하는지가 신뢰의 핵심 지표가 된다. 비용을 줄이기 위해 만든 쪽문이 기업가치를 깎는 출입구가 된다면, 한국의 디지털 서비스 기업들은 외주 계약서의 보안 조항을 지금과 같은 부속 문서로 남겨둘 수 없다. ※ 이 기사는 KBS의 2026년 10월 29일 보도(국내 금융권 및 대학, 쪽문 해킹으로 개인정보 대규모 유출)를 참조하여 작성하였다.
기자명과 기사 원문 URL은 제공된 원천 자료에 포함되어 있지 않아 명시하지 못했다. 원천 자료에서 확인된 수치와 기관명은 국립부경대학교 학생 5천 명 이상, 신한은행 고객 2만 5천여 명, 부산은행 등 업무 지원 시스템 피해 사례다. 본문 중 공급망 보안 전략, 제로트러스트 적용 범위, 거버넌스 재편 전망 등은 원천 자료 외 필자의 분석 및 추론이다.
FAQ
Q. 내 정보가 이번 사고에 포함됐는지 어떻게 확인할 수 있나?
A. 이번 원천 자료에서 공식 확인된 피해 대상은 국립부경대학교 캠퍼스e모아시스템 관련 학생 5천 명 이상, 신한은행 대출 조회 서비스 고객 2만 5천여 명, 부산은행 등 업무 지원 시스템 관련 직원이다. 개인별 포함 여부는 각 기관이 발송하는 문자·이메일 안내 또는 홈페이지 공지를 통해 확인하는 것이 가장 정확하다. 출처가 불분명한 링크를 클릭해 확인하려는 행위는 피싱 피해로 이어질 수 있으므로 피해야 한다. 공식 안내를 받지 못했다면 해당 기관 대표번호로 직접 문의하는 방식이 안전하다. 기관 공지 외에 추가 피해 규모는 현재까지 공식 확인되지 않았다.
Q. 가상계좌와 학번이 유출되면 실제 금전 피해로 이어지나?
A. 가상계좌와 학번만으로 즉시 계좌 이체가 발생한다고 단정할 근거는 없다. 다만 이름, 학번, 가상계좌가 결합하면 학교 행정이나 등록금 납부를 사칭한 연락에 악용될 수 있다. 대출 조회 정보도 금융기관 직원을 사칭한 전화나 문자에 활용될 가능성이 있다. 피해를 예방하려면 기관 대표번호를 직접 입력해 확인하고, 문자 속 링크나 첨부파일을 통해 추가 개인정보를 입력하지 않는 습관이 중요하다. 의심스러운 연락을 받으면 통화를 끊고 해당 기관 공식 채널로 재확인하는 것이 원칙이다.
Q. 기업과 대학은 쪽문 해킹을 줄이기 위해 무엇을 바꿔야 하나?
A. 핵심은 외부 위탁사를 내부 조직과 같은 보안 기준으로 관리하는 계약 구조를 만드는 것이다. 수탁사 선정 단계부터 침투 테스트(Penetration Test) 실시 주기, 관리자 계정 통제, 로그 보관 기간, 사고 통지 시한을 계약서에 명시하고 이행 여부를 정기적으로 검증해야 한다. API와 원격 접속 계정에는 최소 권한 원칙과 다중 인증(MFA)을 적용하는 방식이 현실적 출발점이다. 보안 투자는 한 번의 장비 구매보다 수탁사 전반을 지속 점검하는 운영 체계 구축으로 이동해야 한다. 계약 단가를 낮추는 과정에서 보안 조항을 부속 문서로 취급하는 관행을 바꾸지 않으면 같은 유형의 사고가 반복될 것이다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
