아플락 부정접속 유출 건수, 약 440만 명으로 증가 7월 말 보고 예정

2026-07-13

아플락생명보험에서 발생한 부정접속으로 인한 개인정보 유출은 6월 말 공표 시점보다 약 2만 명 늘어 약 440만 명으로 확대될 전망이다. 고객 통지는 순차적으로 진행하고, 7월 말께 원인 분석과 재발 방지 대책을 담은 보고서를 금융청에 제출할 예정이다.

유출 범위 재검토

아플락은 6월 30일, 제3자가 계약자 전용 사이트에 부정접속해 고객 정보가 유출됐다고 공표했다. 이름, 주소, 전화번호, 증권번호, 보장 내용 외에 일부는 보험료 자동이체용 은행 계좌 정보도 포함돼 있었다.

사내 조사에서는 부정접속 시작 시점이 당초 예상한 6월 15일보다 5일 빠른 6월 10일이었던 것으로 확인됐다. 담당자가 이상 징후를 파악해 시스템을 중단한 6월 25일까지, 외부에서 열람 가능한 상태가 계속됐다.

통지와 은행 대응

유출된 고객 수는 당초 약 438만 명에서 약 440만 명으로 수정됐고, 계좌 정보가 유출된 고객은 약 23만 명에서 약 22만 명으로 재조정됐다. 10일부터 유출이 확인된 고객에게 통지 발송을 시작했으며, 우선 계좌 정보가 유출된 약 22만 명을 우선한다. 전체 440만 명에 대한 통지는 7월 말까지 완료하는 것을 목표로 한다.

계좌 정보 유출을 계기로 은행권도 확인 대응에 속도를 내고 있다. 한 메가뱅크는 계좌 정보가 유출된 고객 가운데 자사 피해 건수를 명확히 해 달라고 아플락에 요청했다. 계좌 보유자 특정 등을 포함해 상황 확인을 계속할 방침이다. 다른 메가뱅크도 부정 이용 여부에 대해 거래 감시를 지속하고 있다.

은행 계좌번호만으로 즉시 부정 인출이 가능한 것은 아니지만, 비밀번호 추정이나 인터넷뱅킹 비밀번호 유출이 겹치면 2차 피해 우려가 커진다.

원인 규명과 금융청 대응

아플락은 사장 직속으로 위기대책본부를 설치하고 외부 사이버보안 전문가도 참여시켜 원인 규명을 진행하고 있다. 관계자에 따르면 범인은 어떤 수단으로든 복수 고객의 ID와 비밀번호를 훔쳐 계약자인 것처럼 가장해 전용 사이트에 접속한 것으로 보인다. 다만 개인인지 조직인지 등을 포함해 특정에는 이르지 못했다.

미국 앤스로픽의 '뮤토스' 등 고도화한 AI의 확산으로 범죄조직이 미공개 취약점을 노릴 위험도 지적되고 있다. 다만 관계자는 이번 부정접속에 대해 'AI를 사용했을 가능성은 낮고, 전통적인 수법이었다'고 보고 있다.

금융청은 6월 30일, 보험업법에 근거한 보고 징구 명령을 내렸다. 아플락은 7월 말께 원인 분석과 재발 방지 대책을 정리한 보고서를 제출할 방침이다.

금융기관을 겨냥한 사이버 공격

국내 금융기관을 노린 사이버 공격은 최근 들어 늘고 있다. 25년 3월께부터는 여러 증권사에서 계좌 탈취에 따른 부정 주식 거래가 잇따랐다. 범죄조직은 피싱 등으로 ID와 비밀번호를 훔쳐 고객으로 가장한 뒤 시세 조작으로 이익을 챙겼다. 각사는 단말기 내에 암호 키를 생성하는 패스키를 활용한 인증을 의무화하는 등 대책을 진행하고 있다.

25년 6월에는 손해보험재팬이 외부로부터 부정접속을 받아 계약자 등 정보 약 1750만 건이 열람됐을 가능성이 있다고 발표했다. 판매 대리점과 정보를 주고받는 시스템이 표적이 됐다. 손보재팬은 금융청의 보고 징구 명령을 받아 재발 방지 대책을 정리하고, 다층 방어 도입 등 추가 투자를 진행했다. 부정접속을 받은 시스템은 현재도 중단된 상태다.

이 글이 도움이 되셨다면 공유해 주세요.