BNK부산은행의 내부 직원용 모바일영업지원 시스템이 외부 공격을 받아 외주 개발직원 11명의 개인정보가 유출되었습니다.
지난 10월 1일 오후 9시경 AI 에이전트를 활용한 외부 웹서버 공격이 시도되었으며, 세션 검증이 미흡한 일부 웹페이지의 취약점을 통해 정보가 노출되었습니다.
부산은행은 해당 웹페이지를 즉시 차단하고 금융당국과 개인정보보호위원회에 신고를 완료했습니다.
에디터 분석
관리의 사각지대에 놓인 외주 인력의 정보 보안
금융기관의 내부 시스템은 엄격한 보안 체계를 갖추고 있지만 외주 개발자와 같은 외부 협력 인력이 접근하는 접점은 상대적으로 취약한 경우가 많다. 이번 사고는 세션 검증 미흡이라는 기술적 허점이 AI 에이전트를 활용한 공격과 결합하며 발생했다. 공격자는 시스템의 가장 약한 고리를 찾아내어 정보를 추출했다.
내부 직원용 시스템이라 하더라도 외주 인력의 정보가 포함되어 있다면 그 관리 책임은 전적으로 시스템 운영 주체에 있다. 특히 개발 단계에서 투입된 인력의 정보가 유출되었다는 점은 시스템 구축 과정의 보안 검증이 실제 운영 환경의 위협 수준을 따라가지 못했음을 보여준다.
사고 수습의 나열과 기술적 배경의 부재
파이낸셜뉴스, 더팩트, 아이뉴스24는 모두 부산은행의 즉각적인 차단 조치와 당국 신고 사실을 공통적으로 보도했다. 사고의 규모가 외주 직원 11명으로 비교적 작고 후속 조치가 빠르게 이뤄졌다는 점을 부각하며 사건을 단순 해프닝 수준으로 다루는 경향을 보인다.
더팩트는 AI 에이전트를 통한 공격 시도와 공격표면관리(ASM) 도입 계획을 언급하며 기술적인 대응 방안을 구체적으로 짚어냈다. 반면 파이낸셜뉴스는 타 은행의 유출 사례를 덧붙여 금융권 전반의 보안 불안감을 조성하는 프레임을 취했다.
보도들은 은행이 내놓은 수습책을 그대로 전달했을 뿐 정작 왜 세션 검증 미흡이라는 기초적인 취약점이 방치되었는지에 대한 본질적인 질문은 던지지 않았다. 외주 인력의 정보가 유출되는 구조적 반복성에 주목하기보다 신고 완료라는 행정적 절차에 매몰된 보도 양상이다.
금융위 긴급 상황대응 회의 소집과 은행권 연쇄 유출 양상 확인
새로운 보도 10개 매체단일 은행의 사고를 넘어 금융권 전반의 보안 취약성이 드러나는 양상으로 보도가 확장되었다. 전자신문은 우리은행과 NH농협은행도 유사한 공격을 받았으나 유출은 면했다는 사실과 함께, 금융위원회가 은행 6개사와 카드 3개사를 소집해 긴급 상황대응 회의를 열었다는 구체적인 대응 상황을 짚어냈다.
부산일보는 이번 사고가 고객 정보가 아닌 외주 개발직원 정보가 유출되었다는 점에서 신한·KB국민은행의 사례와 차이가 있다는 점을 명확히 구분했다. 이는 단순히 유출 건수나 대상의 규모에 매몰되지 않고, 공격의 타깃과 피해 성격이 어떻게 다른지 분석하려 한 시도다.
대부분의 매체는 여전히 '고객 정보 유출 없음'이라는 은행 측의 해명을 반복하며 사건의 심각성을 낮게 잡는 경향을 보인다. 하지만 금융당국이 현장조사에 착수하고 관계기관 간 위협정보를 공유하기 시작했다는 점은, 이번 사건을 개별 기업의 실수가 아닌 금융 시스템 전체의 구조적 위협으로 인식하기 시작했음을 의미한다.