증권사 해킹 반복, 내 계좌 먼저 잠그는 5단계

사고가 반복돼도 계좌에서 직접 바꿀 수 있는 것부터

증권사 해킹 소식이 또 나왔다. 금융감독원과 금융보안원은 2026년 10월 대신증권, 빗썸, 미래에셋자산운용에서 외부 침입 정황을 확인하고 현장점검에 들어갔다. 대신증권은 10월 17일 비대면 계좌개설 연계 서버에서 비정상 접근이 확인됐고, 고객 3만8,490명의 개인·신용정보가 유출됐다. 유출 항목은 이름, 이메일, 통신 ID, 거래은행명, 주소였고 계좌번호와 휴대전화번호는 암호화돼 있었다고 회사는 밝혔다.

원인 규명과 배상은 당국과 회사의 몫이다. 다만 투자자가 자기 계좌 쪽에서 지금 바로 조일 수 있는 설정이 있다. 이 글은 그 순서를 정리한다.

로그인과 기기부터 잠근다

Photo by Onur Binay on Unsplash

가장 먼저 로그인 단계다. 다른 사이트와 같은 비밀번호를 쓰고 있다면 증권 앱 비밀번호를 단독으로 바꾸는 게 먼저다. 유출된 이메일·아이디가 다른 서비스 로그인에 재사용되는 일이 흔하기 때문이다.

그다음은 접속 기기 제한이다. 대부분의 증권사는 '지정 PC·기기 등록'이나 추가 인증 없이는 등록되지 않은 기기에서 이체가 안 되도록 막는 기능을 제공한다. 평소 쓰는 휴대폰과 PC만 등록해두면, 내 아이디·비밀번호가 새어도 낯선 기기에서의 출금을 한 단계 더 막는다.

인증수단을 한 단계 올린다

보안카드만 쓰고 있다면 OTP로 바꾸는 편이 낫다. OTP는 약 1분마다 새 비밀번호를 만들어 고정된 보안카드보다 탈취에 강하다. 모바일 OTP는 본인 명의 휴대전화에서만 발급되고, 일부 증권사는 PIN이나 인증코드를 5회 틀리면 자동 해지되도록 운영한다.

여기에 이체·로그인 시 문자나 앱 푸시로 한 번 더 확인하는 2채널 인증을 켜두면, 공격자가 비밀번호를 알아도 내 휴대폰 없이는 돈을 옮기기 어렵다.

접속 경로와 금액에 상한을 둔다

국내에서만 거래한다면 해외 IP 접속 차단을 걸어둘 만하다. 국내에서 쓰지 않는 IP로 접속하면 인증서나 보안매체를 쓰는 거래 자체를 막는 서비스다. 해외 출장이나 여행이 잦다면 이 기능은 상황에 맞게 켜고 끄면 된다.

이체한도도 점검 대상이다. 하루에 옮길 일이 없는 큰 금액까지 한도가 열려 있다면, 실제 사용 수준으로 낮춰두는 게 안전하다. 입출금·로그인 내역을 문자나 푸시로 받는 알림을 함께 켜두면, 낯선 거래가 생겼을 때 몇 초 안에 알아챌 수 있다. 피해를 막는 건 결국 '빨리 아는 것'이다.

유출 정보를 쓰는 사칭을 구분한다

이번처럼 이름·연락처·거래은행이 샌 경우, 가장 현실적인 2차 피해는 그 정보를 아는 척하는 사칭이다. "고객님 계좌가 해킹에 노출돼 안전계좌로 옮겨야 한다"거나 "본인 확인을 위해 앱을 설치하라"는 전화·문자가 전형적이다.

판단 기준은 단순하다. 금융감독원이나 증권사, 수사기관은 전화로 돈을 특정 계좌로 옮기라고 하지 않고, 원격제어 앱 설치나 비밀번호·OTP 번호를 요구하지 않는다. 그런 요구가 나오면 그 순간 사칭으로 보면 된다. 문자 속 링크는 누르지 말고, 연락처는 공식 앱이나 홈페이지에 적힌 대표번호로 직접 확인한다.

개인정보가 이미 샜다고 판단되면 선제적으로 쓸 수 있는 공적 장치도 있다. 금융감독원의 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 노출 사실을 등록하면 신규 계좌개설·대출·카드발급이 제한된다. 금융결제원 어카운트인포에서는 본인 명의로 열린 계좌를 한눈에 조회하고 일괄 지급정지를 신청할 수 있으며, 휴대폰 명의도용은 엠세이퍼(msafer.or.kr)로 차단한다. 다만 이런 사전 차단은 앞으로의 거래를 막는 것이라, 이미 만들어진 계좌나 실행된 대출은 따로 확인해야 한다.

사고 공지에서 꼭 볼 네 가지

내가 거래하는 회사가 사고 공지를 냈다면 다음을 확인한다.

확인 항목	볼 내용
유출 범위	유출 항목에 내 정보가 들어가는지, 계좌번호·비밀번호가 포함됐는지
권고 조치	비밀번호·인증수단 변경을 권하는지, 특정 설정 안내가 있는지
보상·문의	피해 접수 창구와 보상 기준이 명시됐는지
2차 피해 대응	사칭 주의 안내와 모니터링 지원이 있는지

당국은 소비자 피해가 발생하면 전액배상 등 보호 조치가 이뤄지도록 관리·감독하겠다고 밝혔다. 배상 세부 기준은 아직 공개되지 않았으므로, 거래내역과 공지문을 보관해두는 편이 낫다.

확실한 건 공격이 회사 서버나 임직원 업무망을 노린다는 점이고, 투자자가 통제할 수 있는 건 그 뒤의 접근과 인증이다. 위 설정은 대부분 앱의 '보안·인증' 메뉴에서 10분이면 끝난다. 사고가 터진 뒤가 아니라 지금 해두는 게 맞다.

출처

1. 대신·미래운용 등 증권까지 번진 해킹사고…금감원, 현장점검 나서
2. 금융당국, 빗썸 해킹 현장조사…미래에셋·대신증권 사고도 점검
3. IP 차단·비상 점검…증권가도 해킹 경계령