AI 도입 전, 감수할 위험과 막을 위험 가르기
샘 올트먼은 AI의 혜택을 위해 일부 위험을 감수해야 한다고 말했지만, 그 논리는 사회 규모의 것이라 업무에 그대로 적용하기 어렵다. 팀 단위에서 감수해도 되는 위험은 학습 곡선과 검수로 걸러지는 사소한 오류뿐이고, 기밀 전송·검증 없는 반영·불명확한 책임은 한 번만 터져도 되돌리기 어렵다. 데이터 입력 범위, 결과 검수, 책임 소재 순으로 도입 전 점검표를 세워두는 편이 안전하다.
온라인 주민번호 CI·DI, 털리면 뭐가 위험한가
최근 유출 사고에서 CI·DI가 함께 새면서 2021년 이후 주민번호 505만여 건, CI·DI 수백만 건이 유출됐다. CI는 주민번호를 일방향으로 바꾼 값이라 그것만으로 주민번호 복원이나 계좌개설은 어렵지만, 여러 서비스에 공통으로 쓰여 흩어진 내 정보를 한 사람으로 묶는 연결고리가 된다. 그래서 CI·DI 유출은 결합 위험이 핵심이며, 명의도용 차단과 본인확인 내역 조회로 점검할 수 있다.
주민번호 변경, 되는 경우와 그전에 할 일
주민등록번호는 2017년부터 유출 피해자에 한해 변경할 수 있지만, 변경위원회 심사를 거쳐 보통 90일(긴급 45일)이 걸리고 모든 신청이 승인되지는 않는다. 변경은 최종 정리일 뿐 심사 기간의 당장을 막아 주지 못한다. 그 공백은 여신거래·비대면 계좌개설 안심차단과 통신 명의도용 차단, 그리고 AI 음성 사칭에 대비한 가족 비상암호로 메우는 것이 우선이다.
노출 32시간, 탐지·삭제·공지가 새는 자리
2026년 10월 한국전력공사 전·현직 직원 2만4000여 명의 이름·소속·전화번호가 외부 웹페이지에 노출됐고, 인지부터 완전 삭제까지 약 32시간이 걸렸다. 노출 정보가 자사 서버 밖에 있으면 삭제 권한이 없어 운영자·호스팅사·검색엔진에 각각 요청해야 하고, 그 사이 정보는 긁혀 나간다. 담당자는 탐지·삭제 요청·내부 공지 세 단계를 미리 설계하고, 이름과 전화번호만 노출돼도 표적 피싱이 가능하다는 점을 직원에게 알려야 한다.
저축은행까지 번진 AI 해킹, 내 계좌 점검 순서
지난달 말부터 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7곳이 AI 해킹 도구 '아르텍스'에 뚫려 나흘간 개인정보가 수만 건 유출됐다. 공격이 시중은행에서 저축은행·캐피탈로 번지면서 2금융권 이용자도 안전지대가 아니게 됐다. 내 거래 금융사가 피해 명단에 있는지 확인한 뒤 비밀번호·이체한도·명의도용 조회 순으로 점검하면 2차 피해를 줄일 수 있다.
정보 노출 확인 직후, 삭제 요청부터 신고까지
외부 웹페이지에 직원 정보가 노출되면 담당자는 범위 확인과 증거 보전, 접근 차단을 먼저 하고 운영사에 삭제를 요청해야 한다. 삭제와 별개로 개인정보보호법은 1천 명 이상이거나 외부 불법 접근에 의한 유출일 때 72시간 안에 개인정보위·KISA 신고와 정보주체 통지를 요구한다. 삭제가 늦어지면 검색엔진 캐시까지 지워야 하는지, 직원 안내문에 어떤 행동 지침을 담을지 점검해야 한다.
직원용 시스템부터 뚫렸다, 중소기업 점검 순서
2026년 10월 금융사 7곳이 뚫린 공격에서 노려진 곳은 핵심 거래 시스템이 아니라 접근통제가 느슨한 직원·대출모집인 부가시스템이었고, 공개된 AI 취약점 점검 도구가 동원된 정황이 확인됐다. 공격이 자동화되면서 표적이 대기업에 한정되지 않게 돼, 보안 전담 인력이 적은 작은 회사의 업무지원 시스템도 같은 방식으로 노출될 수 있다. 외부에 열린 자산, 인증 없이 조회되는 화면, 방치된 계정과 외부 연동을 우선순위로 점검하면 하루 안에 가장 크게 열린 구멍부터 줄일 수 있다.
금융앱, 패스키·2단계 인증 이렇게 켜세요
크리덴셜 스터핑은 유출된 비밀번호 조합을 봇으로 대입하는 공격이라, 비밀번호를 재사용하면 한 곳의 유출이 금융 계정 탈취로 번진다. 패스키는 개인키를 기기에만 두고 서버에는 공개키만 남겨 빼낼 수 있는 비밀 자체를 없애고, 2단계 인증은 비밀번호 로그인을 한 단계 더 보강한다. 설정 뒤에는 계정 복구 경로와 동기화 패스키 유형, 기기 분실 대비까지 점검해야 비로소 완성된다.
대출 모집인 정보 유출, 상담자는 뭘 점검해야 하나
현대캐피탈은 주택대출 모집인 146명의 이름과 주민등록번호 등이 해킹으로 유출됐다고 10월 3일 밝혔다. 유출된 쪽은 고객이 아니라 모집인이지만, 모집인을 사칭한 연락이나 서류 악용 가능성이 있어 상담 이력이 있는 소비자도 점검할 필요가 있다. 상담 때 넘긴 정보를 되짚고, 금융감독원 개인정보노출자 사고예방시스템으로 명의도용을 선제 차단할 수 있는지 확인하는 것이 좋다.
유출 통지 받았다면 오늘 할 점검 우선순위
예가람저축은행에서 성명·생년월일·연락처가 유출돼 약 4만 명 규모가 통지를 받았고, 비밀번호나 계좌 정보는 포함되지 않은 것으로 전해졌다. 이 세 가지만으로도 AI를 활용한 맞춤형 스미싱과 기관·가족 사칭 통화의 재료가 되며, 위험은 명의도용과 계정 탈취로 단계적으로 커진다. 통신과 금융의 명의도용 차단, 가족 인증 키워드 설정 같은 무료 조치를 오늘 바로 끝낼 수 있는지 점검해야 한다.
유출 대상이면 오늘 걸어둘 금융 잠금 4가지
신한·KB·하나·부산은행 등에서 고객 정보가 빠져나간 사실이 9월 30일 확인됐고, 유출된 이름·전화번호·직장명은 명의도용 대출이나 사칭 전화의 재료가 된다. 피해를 막는 핵심은 유출 통지 대상인지 먼저 확인하고, 신규 대출과 휴대폰 개통을 미리 잠가 두는 것이다. 여신거래 안심차단, 개인정보노출자 등록, 엠세이퍼 가입제한, 어카운트인포 계좌 점검은 모두 무료이고 비대면으로 신청할 수 있다.
은행도 뚫은 AI 해킹, 무엇이 달라졌나
2026년 9월 말 신한·KB국민·하나·부산은행 등에서 AI를 활용한 정황의 해킹으로 개인정보가 잇따라 유출됐다. AI 에이전트 해킹은 완전히 새로운 기술이라기보다 정찰·침투·데이터 탈취를 자동화해 속도와 규모를 키운 공격이다. 노출된 관리 페이지와 비밀번호 재사용부터 점검하는 것이 개인과 소규모 운영자 모두의 1순위다.
비번 하나 뚫리면 다 뚫린다, 막는 법
은행권 연쇄 정보 유출에 AI를 활용한 자동화 해킹 정황이 거론되면서, 개인이 가장 직접 노출되는 공격인 크리덴셜 스터핑이 다시 주목받고 있다. 유출된 비밀번호를 다른 사이트에 자동 대입하는 이 공격은 AI 봇이 로그인 시도와 캡차 우회까지 자동화하면서 더 빠르고 광범위해졌다. 비밀번호 재사용 여부를 점검하고 비밀번호 관리자와 2단계 인증을 순서대로 설정하면, 비밀번호가 유출돼도 계정 탈취를 상당 부분 막을 수 있다.