신한·국민·하나은행 유출 뒤 '보상 조회' 메일과 문자, 진짜인지 확인하는 법

2026년 10월 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈에서 고객 정보가 샜다는 보도가 이어졌습니다(한국일보, 2026-10-03, 머니투데이, 2026-10-04). 금융당국은 계좌 정보처럼 부정 결제에 바로 쓸 수 있는 핵심 금융정보는 유출되지 않은 것으로 파악했습니다. 다만 샌 정보를 이용한 보이스피싱 우려는 남아 있습니다(머니투데이, 2026-10-05). "유출 피해 조회"나 "보상 신청"을 내건 메일이나 문자를 받았다면 링크를 누르지 마세요. 은행 앱이나 주소를 직접 입력한 홈페이지, 대표번호로 확인하면 됩니다.

어느 금융회사에서 무엇이 샜나요?

보도된 내용을 회사별로 추리면 이렇습니다. 조사가 진행 중이라 숫자와 항목은 바뀔 수 있습니다.

• 신한은행. 약 2만5000명의 고객명, 전화번호, 연소득, 대출 산출한도가 샜습니다. 주민등록번호 66건과 연계정보 97건도 들어 있었습니다. 대출모집인이 쓰는 모바일 간편조회 서비스가 뚫렸고, 계좌번호와 비밀번호는 유출되지 않은 것으로 나타났습니다(MTN, 2026-10-01, 서울경제, 2026-10-01).
• KB국민은행과 하나은행. 이름, 주소, 연락처가 샜습니다(머니투데이, 2026-10-05).
• BNK부산은행. 개인정보가 유출됐다고 보도됐습니다. 규모와 항목은 확인한 기사에 나오지 않았습니다(한국일보, 2026-10-03).
• 예가람저축은행. 고객 약 4만 명의 정보가 샜습니다(한국일보, 2026-10-03).
• 현대캐피탈. 주택대출 모집인 146명의 개인정보 일부가 빠져나갔습니다(한국일보, 2026-10-03).
• 웰컴저축은행. 법인명과 법인 담당자 이름, 이메일, 전화번호 등 2,200건가량이 샌 것으로 추정됩니다(머니투데이, 2026-10-04, 뉴데일리, 2026-10-04).

금융위원회는 전 금융권 협회장과 유출 사고가 난 금융회사 최고경영자를 10월 4일 긴급 점검회의에 소집했습니다(한국일보, 2026-10-03). 신한은행장은 고객이 손해를 입으면 전액 보상하겠다고 밝혔습니다(서울경제, 2026-10-01).

어떤 연락을 조심해야 하나요?

금융당국은 두 가지를 꼽았습니다. 하나는 은행 직원을 사칭해 대출 상담 내용을 꺼내며 접근하는 보이스피싱입니다. 다른 하나는 개인정보 유출이나 피해 보상 확인을 미끼로 피싱 사이트에 접속하게 하거나 악성 앱을 깔게 하는 문자입니다(세계일보, 2026-10-05). 금융감독원은 금융회사나 대출상담사로 위장해 추가 인증정보를 요구하는 범죄도 우려했습니다(한국일보, 2026-10-05).

이번에 샌 정보는 전화번호가 중심입니다. 그래서 메일보다 문자와 전화로 오는 연락이 더 많을 수 있습니다. 웰컴저축은행 건에는 법인 담당자 이메일도 들어 있어 사업자라면 메일도 함께 살피세요.

어떤 말투로 오든 요구하는 행동을 보면 가려집니다. 아래 요구가 있으면 멈추세요.

• 유출 조회나 보상 신청 링크. 당국은 출처가 불분명한 문자의 링크를 누르지 말고 금융회사 홈페이지나 앱에서 유출 여부를 확인하라고 했습니다(세계일보, 2026-10-05).
• OTP, 보안카드 번호, 인증번호. 보상을 받는 데 필요하다고 해도 알려 주지 마세요.
• "안전계좌"로 돈을 옮기라는 말. 국가가 관리하는 안전 계좌로 옮기라며 사기범 계좌로 송금하게 하는 것은 오래된 보이스피싱 수법입니다(정책브리핑, 2012-02-08).
• 저금리 대환대출을 내건 상환금 입금. 금융감독원은 사기범이 기존 대출을 상환해야 한다며 돈을 가로챈다고 경고했습니다. 금융회사는 대출 승인을 위해 어떤 명목으로도 선입금을 요구하지 않는다고 했습니다(뉴시스, 2025-05-21). 연소득과 대출 한도가 샌 지금은 이런 상담이 더 그럴듯하게 들립니다.
• 앱 설치. 금융감독원은 금융회사가 대출 과정에서 앱 설치를 요구하지 않는다고 밝혔습니다(뉴시스, 2025-05-21). 문자나 메일로 받은 .apk 파일은 설치하지 마세요.

진짜인지 어떻게 확인하나요?

1. 링크를 누르지 않습니다. 유출 여부는 은행 앱이나 주소를 직접 입력한 홈페이지에서 봅니다. 신한은행은 홈페이지에 조회 메뉴를 따로 만들었고 신한 슈퍼SOL 앱에서도 조회하게 했습니다(서울경제, 2026-10-01, 파이낸셜뉴스, 2026-10-02).
2. 메일이나 문자에 적힌 번호 말고 대표번호로 겁니다. 전화를 받았다면 끊고 아래 번호로 다시 거세요. 당국도 의심 전화는 바로 끊으라고 했습니다(세계일보, 2026-10-05).
3. 메일이면 보낸 주소의 @ 뒤를 봅니다. 보낸 사람 이름은 누구나 "신한은행"으로 정할 수 있습니다. @ 뒤가 아래 홈페이지 주소와 다르고 처음 보는 주소라면 대표번호로 물어보세요. 은행이 실제로 쓰는 메일 주소가 홈페이지 주소와 다를 때도 있습니다. 주소가 맞아 보여도 위에 적은 요구가 있으면 따르지 마세요.
4. 안심차단 서비스를 켜 둡니다. 당국은 비대면 계좌개설 안심차단과 여신거래 안심차단 서비스를 쓰라고 권했습니다(세계일보, 2026-10-05).

번호는 각 회사 홈페이지에서 2026-10-05에 확인했습니다.

이미 링크를 눌렀거나 돈을 보냈다면?

• 돈을 보냈다면 바로 112에 신고하세요. 사건 접수와 악성 앱 차단, 지급정지를 함께 처리합니다. 금융감독원 1332에서도 금융사기 상담과 지급정지를 받습니다.
• 앱을 깔았거나 OTP, 인증번호를 알려 줬다면 112나 금융감독원 1332에 연락하세요.
• 사기 문자나 전화번호를 제보하려면 1394에 거세요. 경찰청 전기통신금융사기 통합대응단이 24시간 피해 상담과 전화번호 제보를 받습니다.
• 사칭 메일을 신고하려면 한국인터넷진흥원 불법스팸대응센터 118에 거세요. 24시간 받고, ARS에서 4번을 누르면 됩니다.

its-a-trap에서 이런 메일을 열면 어떻게 보이나요?

its-a-trap은 PC 크롬에서 Gmail이나 네이버 메일을 열면 보낸 도메인을 확인해 위험, 의심, 이상 없음으로 알려 주는 확장입니다. 문자와 전화, 휴대폰 메일 앱은 보지 못합니다. 이번 유출은 전화번호가 중심이라 문자와 전화는 위의 순서대로 직접 확인해야 합니다.

0.5.2 버전부터 은행과 카드사를 비롯한 금융권 43곳의 공식 도메인을 대조합니다. 메일에서는 이런 줄이 나옵니다.

• 보낸 사람 이름에 은행 이름이 있거나 본문이 "신한은행입니다"처럼 은행이라고 소개하는데 주소가 그 은행 도메인이 아니면 "신한은행 도메인이 아닙니다"처럼 나옵니다. shinhan-reward.example처럼 은행 도메인 이름을 품은 주소는 "공식 도메인 이름을 품고 있습니다"로 나옵니다.
• 카드에 "메일에 적힌 번호 말고 신한은행 대표번호 1599-8000에 직접 걸어 확인하세요."처럼 대표번호 줄이 나옵니다. 번호는 위 표와 같습니다.
• 본문이 요구하는 행동에 따라 아래 줄이 나옵니다. "은행은 OTP 번호를 묻지 않습니다" 같은 경고 문장은 요구로 세지 않습니다.
• "안전계좌" 이체를 요구합니다
• OTP나 보안카드 정보를 요구합니다
• 대출 상환금 입금을 요구합니다
• 유출 피해 조회·보상 미끼입니다
• 본문에 .apk 같은 파일 이름이 적혀 있거나 링크가 그런 파일로 이어지면 "본문 수법" 줄에 위험한 형식의 첨부 파일로 나옵니다.
• 위험으로 나온 메일에 안전계좌, OTP, 대출 상환금 요구가 있으면 신고·상담 번호 118과 함께 112와 1332가 나옵니다.

예를 들어 보겠습니다. 보낸 사람 이름이 "신한은행 고객센터", 주소가 notice@shinhan-reward.example이고 제목이 "[신한은행] 개인정보 유출 피해 보상 대상 조회 안내"인 메일이 "본인 확인을 위해 OTP 번호를 입력해 주세요"라고 하면 위험으로 나옵니다. "기관 사칭 여부" 줄에는 "shinhan.com 이름을 품은 다른 도메인"이라고 나오고, 신한은행 대표번호와 신고·상담 118, 112, 1332가 함께 나옵니다. 이 메일은 설명하려고 만든 예시입니다.

놓치는 경우도 있습니다.

• 은행 이름 없이 "개인정보 유출 피해 보상 조회"만 내건 메일은 그 문구를 약한 근거로만 셉니다. 진짜 은행의 유출 안내에도 같은 말이 들어가기 때문입니다. 다른 근거가 없으면 이상 없음으로 나오기도 합니다.
• 보낸 사람 이름이 사람 이름뿐이고 본문이 "신한은행 김OO 상담원입니다"처럼 은행 이름 뒤에 사람 이름과 직함을 붙이면 이 메일을 은행 자칭으로 잇지 못합니다. 그때도 "안전계좌" 같은 요구 문구 줄은 따로 나옵니다.
• 진짜 은행 메일 계정이 도용됐거나 보낸 주소를 위조한 메일은 도메인만으로 가리기 어렵습니다. 네이버 메일에서는 발신 인증 결과를 볼 수 없습니다.

이상 없음은 안전하다는 보증이 아닙니다. 판정이 틀렸다면 contact@ys-ware.com으로 알려 주세요. 보낸 주소의 @ 뒤 도메인과 화면에 나온 판정만 적어 주시면 됩니다. its-a-trap은 이 글에 나온 금융회사, 금융당국과 관계가 없습니다.

크롬 웹스토어에서 its-a-trap 설치하기. 판정과 신고는 무료이고 로그인 없이 씁니다. 의심이나 위험으로 나온 메일을 AI가 한 번 더 읽어 주는 AI 상세 분석은 월 5,900원 구독 기능입니다.