캐피탈 업계 정보유출, 2015년 이후 '0건'

2026-09-16 15:52:28 ㅣ 2026-09-16 16:15:02

[뉴스토마토 신수정 기자] 최근 수년간 여신금융업권과 전자금융업권 등에 해킹으로 인한 정보 유출 사고가 잇따라 발생한 가운데, 캐피탈업권은 2015년부터 올해까지 12년간 정보 유출이 없었던 것으로 나타났습니다. 다만 대다수 캐피탈사가 개인보다 기업금융 위주 영업이 많아 상대적으로 해커들이 노릴 만한 개인정보가 많지 않았다는 게 금융권 평가입니다.

캐피탈 정보유출 이후 망분리 의무화

16일 금융권에 따르면 2015년부터 올해까지 현대·KB·하나·신한·메리츠·BNK·우리금융·NH농협·JB우리·IBK·OK캐피탈 등 국내 주요 캐피탈사에서 정보 유출 사고가 적발되지 않았습니다. 카드사·페이사·전자지급결제대행(PG) 등 다수 여신업권이 최근까지 정보 유출로 몸살을 앓는 것과 대비됩니다.

캐피탈사들은 2011년 4월 현대캐피탈 사태 이후 2013년부터 금융당국 지도 아래 적극적인 내부 전산망과 인터넷망을 분리하는 '망분리'를 의무화하고, 개인정보 보호 체계를 강화하면서 외부 해킹에 의한 정보 유출 사고를 사실상 차단했습니다.

현대캐피탈 정보 유출은 캐피탈업권에서 손에 꼽는 정보 유출 사고였습니다. 국내 1위 캐피탈사에서 총 175만명의 고객 개인정보(이름·전화번호)와 신용정보(신용등급·비밀번호)가 해킹된 사건이였는데요.

당시 현대캐피탈은 업무제휴를 맺은 리스용 차량 정비업체의 정비 내역 조회 서버를 통해 개인정보를 조회할 수 있었는데, 퇴직자가 사용하던 계정으로 해커가 해당 서버에 침입해 화면을 복사하거나 해킹 프로그램을 설치해 로그파일로 다운로드 받는 방식으로 유출됐습니다. 필리핀 등에 체류하고 있던 해커들은 빼돌린 고객 정보를 빌미로 현대캐피탈에 현금 5억원을 요구했습니다.

현대캐피탈 사고 이후에도 IBK캐피탈, 씨티캐피탈(현 OK캐피탈), JB우리캐피탈 등에서 내부 직원의 일탈로 고객 개인정보가 유출됐습니다.

금융감독원은 2013년 JB우리캐피탈에 대한 검사를 진행해 일부 직원이 2010년 3~4월 고객의 동의를 받지 않고 신용평가사에 고객 4명의 개인 신용정보 7건을 조회하고, 고객 2명의 신용정보 5건을 제3자에게 제공한 사실을 적발했습니다. 같은 시기 IBK캐피탈은 2011년 12월부터 2012년 3월까지 고객 개인정보 5800여건을 유출해 금융감독원으로부터 기관주의와 과태료 600만원을 처분 받았습니다.

이를 계기로 금융감독원은 2013년 6월 △망분리 등 접속 경로 통제 강화 △노트북 및 휴대용 저장 매체 보안 통제 강화 △외주업체 및 외주 인력 관리 강화 등을 골자로 한 '금융회사 정보통신(IT) 보안 강화 종합대책'을 발표했습니다.

금융위원회도 당해 7월 '금융전산보안 강화 종합대책'을 발표하고 얽혀 있는 금융회사의 내·외부 전산망의 망분리 의무화에 본격적으로 나섰습니다. 이러한 방침에 따라 캐피탈사들도 내부망 데이터베이스(DB) 암호화, 고객 신용정보 접근 권한 관리(DRM·DLP) 등 기술적·물리적 방화벽을 선제적으로 구축해 나갔습니다.

또한 2013년 말 발생한 한국씨티은행, 한국SC은행의 고객 정보 유출 사건을 수사하는 과정에서 창원지검은 불법 대출업자에게 압수한 USB에서 추가 발견된 고객 정보 300여만건을 금감원에 넘겼습니다. 금감원은 이듬해 이를 정밀 추적해 이들의 캐피탈사(계열사)에서 3만4000명의 신규 정보 유출 건을 적발했습니다. 각각 IBK캐피탈 1만7000명, 씨티캐피탈 1만7000명으로 확인됐습니다. 이후로 캐피탈업권에서 정보 유출은 확인되지 않고 있습니다.

(그래픽=뉴스토마토)

'대고객' 카드·페이 정보유출, '기업금융' 캐피탈 잠잠

캐피탈업권에서 정보 유출이 발생하지 않은 동안, 오히려 카드사와 페이사 등에서 해킹이나 내부 직원의 일탈에 의한 정보 유출 사고가 몰렸습니다. 금융권에 따르면 최근 금융감독원은 토스페이먼츠와 코엠페이먼츠에서 해커의 공격을 받아 정보 유출이 발생하면서 최근 현장점검을 착수하고 지난 9일 현장검사로 전환했습니다.

토스페이먼츠는 자사의 결제대행(PG) 서비스를 이용하는 가맹점 한 곳에서 결제연동플랫폼(웹사이트)이 발급한 보안 인증정보(연동키) 노출로 고객들의 결제 내역이 조회됐습니다. 코엠페이먼츠에서는 지난 8월30일 오전 8시13분부터 9월1일 오전 5시34분 사이에 해킹 공격을 받아 정보가 유출됐습니다.

카카오페이에서는 2018년 4월부터 2024년 5월까지 약 7년간 고객 4045만여명의 개인정보 총 542억건을 고객 동의 없이 중국 알리페이 측에 넘긴 혐의로 지난 3월 경찰 조사가 이뤄졌습니다. 이를 먼저 발견했던 금감원은 지난해 1월 카카오페이에 과징금 59억여원을 부과하고, 올해 2월에 기관경고와 함께 과징금 129억여원, 과태료 480만원을 부과했습니다.

카드업권은 2014년 KB국민·롯데·NH농협 등 카드 3사의 1억400만건이란 대규모 정보 유출 사태의 아픔을 겪었음에도 최근 롯데카드와 신한카드, 우리카드에서 잇따라 정보 유출 사고가 재현됐습니다.

롯데카드는 지난해 해킹으로 고객 297만명의 정보가 유출된 롯데카드는 지난 7월31일 금융위로부터 1.5개월 업무정지와 과징금 50억원을 처분 받았습니다. 지난달 1일부터 전날까지 45일간 업무정지를 지나고 이날부터 영업을 재개했습니다.

우리카드는 2024년 1~4월 인천영업센터에서 가맹점 대표자 약 7만5000명의 개인정보가 카드모집인에게 유출됐고, 당사자 동의 없이 카드 신규 모집 등 마케팅에 활용됐습니다. 신한카드에서는 2022년 3월부터 2025년 5월까지 직원 12명이 가맹점주 개인정보 19만2000건을 카드모집인에게 제공한 것으로 조사됐습니다.

반면 캐피탈업권은 정보유출 논란이 없었는데요. 금융권 안팎에선 정보보호에 대한 인식과 대응력이 개선된 점도 있지만, 근본적으로 개인 고객의 접점 여부에 따른 환경적 요인으로 보고 있습니다.

카드사나 페이사는 수천만 명의 일상 결제가 이뤄지고 실시간 응용프로그램인터페이스(API) 연동, 외주 개발과 해외 제휴 등 외부 접점도 넓어지는데 이에 비해 캐피탈사는 할부·리스·대출 등 장기간 운용되는 금융상품 중심이라 실시간 대외 접점이 상대적으로 적습니다.

금융권 관계자는 "현대캐피탈 같은 대형 캐피탈사나 KB캐피탈 같은 금융지주 계열의 캐피탈사가 일부 대고객을 상대로 업무를 진행하기 때문에 체계적인 정보보호 시스템을 갖추고 있다"면서도 "대부분 캐피탈사들은 소매금융보다 기업금융이나 투자은행(IB) 관련 금융 위주다 보니까 상대적으로 개인 접점이 없어서 해커들이 노릴 만한 개인정보가 많지 않다"고 말했습니다.