미래에셋증권 해킹, 계좌번호·직원정보 유출

조사 기준시각: 2026년 11월 7일 12:58 KST. 사고 원인과 유출 경위는 조사 중입니다. 이 글은 로컬 초안이며, 공개 전 최신 공지를 다시 확인해야 합니다.[2][4]

미래에셋증권은 해킹으로 고객 계좌번호와 직원정보가 유출됐다고 11월 7일 밝혔습니다. 연합뉴스와 MBC가 전한 회사 설명에 따르면 고객 약 3,800명의 계좌번호와 임직원 35,255명의 개인정보가 유출됐습니다. 직원 수에는 퇴직자와 외주직원이 포함됩니다.[2][3]

고객정보와 직원정보는 나눠 봐야 합니다. 유출 항목이 다르고 비밀번호에 관한 설명도 다릅니다. 회사는 현재까지 확인된 금전적 피해가 없다고 설명했습니다. 이는 독립적으로 확인된 피해 조사 결과나 앞으로의 안전을 보장하는 말은 아닙니다.[2][3]

고객 계좌번호와 직원정보는 별도입니다

아래 내용은 공개 보도가 전한 회사 설명을 정리한 것입니다.[2][3][4]

고객 계좌번호 유출과 직원 개인정보 유출을 하나의 숫자로 합산하지 않습니다. 두 집단의 중복 여부가 확인되지 않았기 때문입니다. 고객 약 3,800명이라는 설명을 계좌 약 3,800개로 바꾸는 것도 보도된 범위를 벗어납니다.[2][3]

연합뉴스와 MBC는 회사가 고객의 예금주명 등 다른 정보는 유출되지 않았다고 설명했다고 전했습니다. 이 역시 회사가 확인했다고 밝힌 범위에 한정된 설명입니다. 계좌번호만으로 구체적으로 어떤 금융거래가 가능한지 또는 불가능한지를 이 설명만으로 단정하지 않습니다.[2][3]

직원정보는 항목별 범위를 구분해야 합니다. 연합뉴스에 따르면 성명과 사번이 대부분이며 일부 대상자에게 이메일 주소, 휴대폰번호, 암호화된 비밀번호가 포함됐습니다. ‘일부’라는 말을 빼면 전체 직원에게 같은 정보가 유출된 것처럼 오해할 수 있습니다. 반대로 이름과 사번만 언급하면 추가 항목을 누락하게 됩니다.[2]

고객 계좌 비밀번호와 직원 비밀번호는 다릅니다

파이낸셜뉴스에 게재된 뉴시스 보도는 고객 계좌 비밀번호가 유출되지 않았다는 회사 설명을 전했습니다. 연합뉴스가 보도한 일부 직원의 암호화된 비밀번호 유출과는 다른 항목입니다.[2][4]

따라서 이번 사고를 ‘비밀번호는 유출되지 않았다’고 요약하면 부정확합니다. 고객 계좌 비밀번호에 관한 설명을 직원 업무정보 전체에 적용해서는 안 됩니다. 직원 비밀번호 유출을 고객 계좌 비밀번호 유출로 바꿔 읽어서도 안 됩니다.[2][4]

암호화됐다는 표현만으로 안전성을 확정하기도 어렵습니다. 이번에 확인한 보도에는 구체적인 암호화 방식, 관련 키의 노출 여부, 복호화 여부를 판단할 자료가 없습니다. ‘암호화됐으니 사용할 수 없다’거나 ‘이미 복호화됐다’는 결론 모두 확인 범위를 넘어섭니다.[2][3][4]

11월 4일·5일의 확인과 7일의 공개를 구분합니다

회사가 밝힌 시스템별 사고 확인 일정은 모바일웹 11월 4일, 직원 그룹웨어 11월 5일로 구분됩니다. 연합뉴스와 MBC는 두 시스템에 대한 공격 날짜를 4일과 5일로 전했습니다. 이를 실제 최초 침입 시각이 확인됐다는 뜻으로 읽어서는 안 됩니다.[2][3]

이 일정은 실제 최초 침입 시점이나 유출 시작 시각을 뜻하지 않습니다. 이번에 읽은 보도만으로 그 시각까지 확정하지는 못했습니다. 뉴시스 기사는 4일 일부 모바일웹과 그룹웨어의 비정상 접근을 포착했다고 압축해 서술해 날짜 표현에도 차이가 있습니다.[2][3][4]

사고를 확인한 날짜, 공격자가 처음 접근한 날짜, 회사가 공개한 날짜는 서로 다른 개념입니다. 11월 7일 공개를 그날 처음 침입이 발생했다는 뜻으로 받아들이지 않아야 합니다. 두 시스템에 관한 일정이 가깝다는 이유만으로 같은 공격자나 같은 취약점을 이용한 공격이라고 결론 내릴 수도 없습니다.[2][3][4]

회사 대응과 독립 검증은 구분합니다

연합뉴스에 따르면 회사는 비정상적인 외부 접근을 확인한 뒤 관련 접근경로를 차단하고 비상대응체계를 가동했다고 설명했습니다. 금융위원회·금융감독원·개인정보보호위원회에 보고했다는 설명도 전했습니다. 뉴시스는 대상 고객과 임직원에게 개별 통지를 진행한다고 보도했습니다.[2][4]

MBC는 회사가 문제가 발생한 서비스를 긴급 중단하고 취약점을 점검하고 있다고 전했습니다. 회사 홈페이지 등 주요 시스템은 정상 운영 중이라는 설명도 함께 보도했습니다. 문제 서비스의 중단과 주요 시스템의 운영은 범위가 다릅니다. 이를 ‘모든 서비스가 중단 없이 운영됐다’거나 ‘전체 금융서비스가 멈췄다’고 바꿔 쓰지 않습니다.[3]

뉴시스가 전한 ‘해당 취약점에 대한 보안 조치를 완료했다’는 회사 설명도 모든 원인 규명과 재발방지 조치가 끝났다는 뜻은 아닙니다. 회사는 별도로 사고 원인과 유출 경위를 파악하고 재발방지 대책을 마련하고 있다고 밝혔습니다.[2][4]

공식 공지 목록과 상세 페이지도 확인을 시도했습니다. 다만 이번 조사에서는 문자 인코딩 손상과 안내 이미지 응답 문제로 고객·임직원 공지 상세본문 전체를 온전히 판독하지 못했습니다. 이 글의 구체적인 유출 항목과 대응 내용은 연합뉴스·MBC·뉴시스가 전한 회사 설명에 근거합니다. 여러 보도가 같은 설명을 전했다는 사실은 독립적인 포렌식 검증과 다릅니다.[1][2][3][4]

사칭 연락은 직접 연 공식 경로에서 확인하세요

회사는 미래에셋증권을 사칭하는 전화·문자·이메일에 주의해 달라고 당부했습니다. MBC는 임직원에게 회사나 동료를 사칭하는 피싱도 주의해 달라는 안내가 있었다고 전했습니다.[2][3]

이 경고를 실행하는 일반적인 방법은 다음과 같습니다. 회사가 특정 앱 메뉴나 절차를 지정했다는 뜻은 아닙니다.

• 사고 안내나 상담을 명목으로 연락이 와도, 연락에 포함된 링크나 번호만으로 공식 안내라고 판단하지 마세요.
• 이미 설치한 공식 앱이나 직접 접속한 공식 홈페이지에서 공지를 확인하세요.
• 유출 대상 여부나 연락 내용이 궁금하다면 직접 확인한 공식 상담 경로로 문의하세요.

회사명·계좌번호·직원 이름을 알고 있다는 이유만으로 발신자가 공식 담당자라고 믿지 않는 것이 중요합니다. 자신의 유출 여부나 구체적인 항목을 이 글에서 진단할 수는 없습니다. 대상자 안내와 공식 상담에서 본인에게 해당하는 내용을 확인하세요.

보도에는 11월 7일 한시적인 상담창구 운영 안내가 있지만, 이를 이후에도 이용 가능한 일정으로 받아들이면 안 됩니다. 상담 경로와 운영시간은 직접 연 공식 홈페이지에서 확인하세요. 이 초안에는 전담번호나 구체적인 상담시간을 싣지 않았습니다.[2][4]

아직 확인되지 않은 내용이 있습니다

이번에 확보한 공개 보도만으로는 실제 최초 침입 시점, 정확한 사고 원인, 공격자, 구체적인 유출 기간을 확정할 수 없습니다. 두 시스템의 사고가 같은 공격인지, 다른 금융권 사고와 연결되는지도 확인되지 않았습니다.[2][3][4]

AI 활용, 특정 CVE, 특정 공급사와의 관련성도 확인 근거가 부족합니다. mi-global은 보도에 등장하는 업무시스템 명칭입니다. 그 이름만으로 외부 제품이나 공급사를 특정하지 않습니다. 직원 비밀번호의 암호화 세부와 복호화 여부도 미확인 상태로 남깁니다.[2][3][4]

금전적 피해에 관한 설명에는 주체와 시점이 모두 필요합니다. 회사가 밝힌 내용은 현재까지 확인된 금전적 피해가 없다는 것입니다. 이를 피해가 전혀 없다는 독립 검증이나 잔고 안전 보장으로 바꾸지 않습니다.[2][3]

이번 발표는 고객 계좌번호와 직원정보를 분리해서 읽는 것이 핵심입니다. 고객 계좌 비밀번호와 직원 일부의 암호화된 비밀번호도 구분해야 합니다. 이후 공식 조사와 공지에서 유출 범위나 경위가 달라지는지 확인할 필요가 있습니다. 고객은 의심스러운 연락을 따르기보다 공식 앱·홈페이지를 직접 열거나 공식 상담 경로를 확인하는 것이 좋습니다.[2][3][4]

출처