한국은행의 개인 정보 무더기 유출 사건(연합뉴스 보도)에 대해 설명해 줄 수 있음?

네. 연합뉴스의 2026년 9월 28일 보도를 기준으로 보면, 이번 사건은 단순히 “한국은행 내부 시스템이 직접 뚫렸다”기보다는 한은이 온라인 연수를 맡긴 외부 수탁업체의 시스템이 해킹되면서 한은 직원들의 개인정보가 유출된 사건입니다.

핵심부터 보면

• 피해자: 한국은행 직원 186명
• 침입 기간: 2026년 5월 9일~6월 8일
• 침입 대상: 한은 온라인 연수 개인정보 처리 수탁업체가 이용하던 GitHub 시스템
• 유출 정보: 이름, 회사명·소속, 이메일, 전화번호, 직급·직무, 암호화된 비밀번호 등
• 한은이 사고를 통보받은 시점: 6월 11일
• 피해 직원 통보 및 개인정보보호위원회 신고: 6월 12일

즉,

한국은행 → 온라인 연수업체에 개인정보 처리 위탁 → 업체의 개발·관리 시스템 침입 → 그곳에 있던 한은 직원 정보까지 유출

이라는 구조입니다.

그런데 더 눈에 띄는 부분이 하나 있습니다

이번 보도가 단순히 186명 개인정보 유출 사건으로 끝나지 않은 이유는 한은을 대상으로 한 사이버 공격 시도 자체가 상당히 많았다는 자료가 함께 공개됐기 때문입니다.

2021년부터 2026년 8월까지 한은 인터넷망을 대상으로 탐지된 해킹 시도가 2,063건이었습니다.

특히 2026년에는 8개월 만에 135건으로, 2025년 한 해의 30건보다 4.5배 많아졌습니다.

다만 여기서 중요한 구분이 있습니다.

2,063건 모두 성공한 해킹은 아닙니다.
한은이 탐지한 공격 시도이고, 그중 이번 개인정보 유출은 외부 위탁업체의 시스템에서 실제로 발생한 별도의 사고입니다.

또 하나의 과거 사례도 있습니다

2023년 6월에는 한은 홈페이지에 통계조사보조원 채용 지원자의 입사지원서가 그대로 노출되는 사고도 있었습니다.

당시에는 이름·생년월일·주소·연락처뿐 아니라 학력·경력, 자기소개서 등이 포함된 지원서가 공개됐고, 한은은 다음 날 자료를 삭제하고 당사자에게 통보했습니다.

그리고 2023년 12월에는 한은 홈페이지가 DDoS 공격으로 간헐적인 접속 지연을 겪었습니다. 한은은 당시 금융정보 등의 유출은 없었다고 밝혔습니다.

그래서 이번 사건을 어떻게 봐야 하나?

제가 보기에는(?)라는 식의 평가보다는 사실관계를 세 층으로 나누어 보는 게 좋습니다.

① 이번에 실제 발생한 개인정보 사고
→ 외부 수탁업체의 시스템 침입으로 한은 직원 186명의 정보가 유출됨.

② 한은 자체 시스템에 대한 공격 시도
→ 5년여 동안 2,063건이 탐지됐고, 2026년에 다시 증가.

③ 중앙은행이라는 기관의 특수성
→ 한은은 금융·경제 관련 중요 정보를 다루기 때문에, 직원 개인정보 자체뿐 아니라 외부 업체를 통한 우회적인 공격 가능성까지 관리해야 하는 기관이라는 문제가 제기될 수 있습니다.

특히 이번 사건에서 흥미로운 것은 “한은 본체의 방화벽을 뚫었다”가 아니라 “한은과 연결된 외부 생태계의 약한 고리가 공격받았다”는 점입니다.

요즘 사이버 보안에서 상당히 중요한 문제죠. 기관 자체의 보안이 아무리 강해도 연수업체·클라우드·개발 플랫폼·협력업체 등 공급망(supply chain)의 한 곳이 뚫리면 정보가 새어 나갈 수 있기 때문입니다.

그리고 기사에 나온 “암호화된 비밀번호”라는 표현도 중요합니다. 이것은 평문 비밀번호가 그대로 노출됐다는 뜻과는 다릅니다. 다만 어떤 암호화/해시 방식인지, 재사용된 비밀번호인지 등에 따라 실제 위험도는 달라지므로 “암호화됐으니 아무 위험이 없다”고 단정할 수도 없습니다.

연합뉴스 원문 보기

이번 건은 사용자가 최근 이야기하셨던 “공공기관의 큰 변화가 사법·행정·금융 체계에서도 나타나는 것 같다”는 관점과도 연결해서 볼 만한 사건입니다. 원하시면 다음에는 “왜 중앙은행 같은 기관이 직접 해킹보다 외부 위탁업체를 통한 공격에 취약할 수 있는가”를 아주 쉽게 그림처럼 풀어드릴 수 있습니다.

정부 기관, 기관망, 일반 기업들도 한국은행처럼 ‘연수업체·클라우드·개발 플랫폼·협력업체 등 공급망(supply chain)’ 가 엄청 많은 곳이 한두군데가 아닐텐데 우려됨.

맞습니다. 바로 그 지점이 이번 사건에서 더 크게 봐야 할 부분이라고 할 수 있습니다.

한국은행 사례를 일반화하면 구조가 이렇게 됩니다.

기관 자체
→ 보안망 구축
→ 그런데 업무를 위해
→ 클라우드 / SaaS / 연수업체 / 개발 플랫폼 / 유지보수업체 / 협력업체 / 결제업체 / 문자·메일 업체 등에 연결
→ 그중 한 곳이 침해
→ 기관 관련 정보가 함께 노출될 수 있음

즉, “성벽을 아무리 높게 쌓아도 성 밖의 협력업체가 열쇠를 들고 있다면 문제가 생길 수 있다”는 구조입니다.

특히 현대 기관은 이 연결고리가 정말 많습니다.

그래서 보안의 개념도 바뀌고 있습니다

예전에는 대략

우리 기관의 네트워크를 잘 지키자.

였다면,

지금은

우리 기관과 연결된 모든 조직·계정·서비스·데이터 흐름을 관리하자.

에 가까워지고 있습니다.

이걸 흔히 공급망 보안(supply-chain security) 문제라고 부릅니다.

더 무서운 것은 공격자가 반드시 한국은행 자체를 직접 공격할 필요가 없다는 점입니다.

예를 들어,

A기관 → B업체에 직원 명단 제공
B업체 → C 클라우드 사용
C → D 개발 플랫폼 사용

이라는 구조라면 공격자가 A를 직접 공격하지 않고 보안이 상대적으로 약한 B나 C를 공격하는 방법도 생각할 수 있습니다.

그리고 한 업체가 여러 기관을 동시에 상대한다면 문제가 커집니다.

한 업체의 침해 → 여러 기관의 정보가 연쇄적으로 영향

이라는 상황도 가능하기 때문입니다.

그런데 여기서 한 가지 좋은 방향도 있습니다

이 문제 때문에 앞으로는 단순히

“우리 회사 보안 수준은 몇 점인가?”

가 아니라,

“우리와 연결된 업체들의 접근권한은 무엇인가?”
“어떤 정보가 어디까지 넘어가는가?”
“업체가 침해되면 우리는 얼마나 빨리 차단할 수 있는가?”

를 관리하는 방향으로 보안 체계가 발전할 가능성이 큽니다.

특히 중요한 것은 최소권한입니다.

예를 들어 연수업체가 직원의 연수 이력을 관리해야 한다고 해서 직원 전체 인사정보에 접근할 필요까지 있는 것은 아니겠죠.

필요한 정보만
필요한 기간 동안
필요한 업체에게
필요한 권한만

주는 방식입니다.

그리고 저는 이번 사건에서 “186명의 개인정보가 유출됐다”는 숫자 자체보다도, ‘기관의 경계가 어디까지인가?’라는 질문이 더 중요하다고 봅니다.

오늘날에는 기관 건물이나 기관망 안쪽만 기관이 아닙니다.

기관 ↔ 협력업체 ↔ 클라우드 ↔ 개발 플랫폼 ↔ 또 다른 협력업체

이 전체가 사실상 하나의 디지털 생태계가 되어 있으니까요.

그래서 말씀하신 것처럼 한국은행만의 문제가 아니라 정부기관·공공기관·금융기관·대기업·중소기업 모두가 공통적으로 안고 있는 문제입니다.

특히 한 업체가 수십~수백 개 기관의 업무를 맡고 있다면, 그 업체 하나의 보안이 사실상 작은 ‘공동 보안 인프라’가 되는 셈입니다.