이 포스팅은 쿠팡 파트너스 활동의 일환으로 이에 따른 일정액의 수수료를 제공받습니다.
아내 보험 갱신하면서 수익자를 제 이름으로, 피보험자를 아내 이름으로 넣었거든요. 아이 보험도 마찬가지로 피보험자가 아이, 수익자가 저였고요. 그때 설계사분이 "가족관계증명서랑 주민등록등본 필요하시고, 피보험자분 건강 상태도 기재해주셔야 합니다"라고 했어요. 그래서 아내가 작년에 받은 갑상선 초음파 결과, 아이가 영유아검진에서 나온 소견까지 전부 적어서 냈습니다.
보험 하나 가입하면 내 정보만 넘기는 게 아니에요. 가족 정보까지 통째로 넘기는 겁니다. 그때는 당연한 절차라고 생각했는데, 이번 뉴스를 보고 나니까 그 판단이 맞았는지 모르겠습니다.
미래에셋생명, 보험업계 최초로 해킹당하다
10월 25일, 미래에셋생명 시스템에서 이상 징후가 감지됐습니다. 외부 보안 전문기관과 함께 분석에 들어갔고, 다음 날인 26일 새벽에 고객 개인·신용정보 유출이 확인됐어요.
뚫린 곳이 어디냐면, 고객 청약시스템과 홈페이지 일부입니다. 청약시스템은 보험 가입 신청서를 처리하는 곳이에요. 가입자가 적어 넣은 건강 이력, 기존 병력, 투약 정보... 그리고 피보험자와 수익자로 등록된 가족들의 이름·주민번호·건강 소견까지 다 들어있는 곳이죠.
해커는 시스템 내부에서 파일 41개를 조회했고, 10분 넘게 머물렀다고 합니다. 41개 파일 안에 정확히 어떤 고객의 어떤 정보가 있었는지는 아직 조사 중이에요. 보험업계에서 해킹으로 고객정보 유출이 공식 확인된 건 이번이 역사상 처음입니다.
은행이 털리면 내 돈이 위험하고, 보험사가 털리면 내 가족이 위험합니다
은행 해킹 때 유출되는 정보가 뭔지 아시죠. 이름, 전화번호, 연소득, 대출금액, 예금잔액, 신용등급. KB국민은행에서는 2,210명의 이런 재무 정보가 나간 게 확인됐어요. 롯데 기프티엘에서도 18,359명의 개인정보가 유출됐고요.
이것도 심각한 문제이긴 하지만, 보험사는 은행과 보관하는 정보의 종류 자체가 다릅니다.
보험사의 청약시스템에 있는 정보를 한번 나열해볼게요.
▸ 계약자 본인 정보: 이름, 주민등록번호, 연락처, 직업, 소득 수준
▸ 건강 정보: 질병·수술·입원·투약 이력 (가입 심사용 '계약 전 알릴 의무'로 본인이 직접 기재)
▸ 의료 서류: 보험금 청구 시 제출한 진단서, 진료비 명세서, 수술 확인서
▸ 피보험자 정보: 보험 대상인 가족(배우자, 자녀)의 이름·주민번호·건강 상태
▸ 수익자 정보: 보험금을 받을 사람의 이름·주민번호·계약자와의 관계
무슨 말이냐면, 제가 보험 하나 가입하면서 넘긴 정보에는 제 맹장 수술 기록뿐 아니라, 아내의 갑상선 검진 결과, 아이의 영유아검진 소견까지 포함돼 있다는 뜻이에요. 보험 한 건에 최소 2~3명의 개인정보와 건강 기록이 묶여 있는 겁니다.
카드번호는 재발급하면 끝나고, 비밀번호는 새로 설정하면 그만이잖아요. 그런데 아이의 건강검진 이력이나 아내의 수술 기록은 지울 수 없습니다. 한 번 밖으로 나가면 평생 회수할 방법이 없어요. 개인정보보호법이 건강 정보를 '민감정보'로 별도 분류하는 이유가 바로 이겁니다.
한 달 만에 금융사 17곳이 뚫렸습니다
미래에셋생명만의 문제가 아니에요. 9월 30일 신한은행을 시작으로 금융권 전체에 연쇄 해킹이 벌어졌습니다. 미래에셋생명을 포함해 지금까지 17곳이 뚫렸고, 약 10만 건의 개인정보가 유출된 상태예요.
은행 4곳(신한·KB국민·하나·BNK부산), 저축은행 4곳(예가람·웰컴·OK·DB), 여신전문 2곳(현대캐피탈·산은캐피탈), 가상자산 거래소, P2P 금융, 새마을금고까지. 금융권 전 업종이 동시다발적으로 뚫렸다는 게 이번 사태의 핵심이에요.
금융위원회가 555개 금융사를 긴급 점검했는데, 그 결과가 좀 충격적이었어요. 130곳(23.4%)에서 보안 관리 미흡 판정이 나왔습니다. 가장 많이 나온 지적이 '대외시스템 인증 누락'과 '다중요소인증(MFA) 미도입'이었는데요. 보안의 기초 중 기초가 안 돼 있었다는 거예요.
공격 수법도 예전과 달라졌습니다. 이번에 쓰인 건 중국에서 개발된 AI 침투 도구 '아르텍스(ARTEX)'에 딥시크 같은 대규모 언어모델을 붙인 겁니다. AI가 보안 취약점을 자동으로 찾아서 뚫어주는 무기인 셈이에요. 거기에 북한 해킹 조직 '라자루스'가 PHP 취약점을 이용한 대규모 공격을 준비하는 정황까지 포착됐습니다.
방어하는 쪽 상황은 어떨까요. 금융권의 IT 예산 대비 정보보호 투자 비중이 4년 동안 6.01%에서 6.28%로 겨우 0.27%p 올랐어요. 정보보호 인력 비중은 오히려 6.82%에서 6.67%로 줄었습니다. 공격 쪽은 AI로 무장하는데 수비 쪽은 사람을 줄이고 있는 거예요.
더 무서운 숫자가 있습니다. 전자금융 사고 2,189건 중 91건은 사고를 인지하기까지 한 달 넘게 걸렸고, 17건은 무려 1년이 지나서야 발견됐어요. 해커가 1년 동안 금융사 서버 안에 머물면서 데이터를 열람하고 있었는데 아무도 몰랐다는 뜻입니다.
2차 피해가 가족 단위로 올 수 있습니다
건강 정보 유출의 진짜 문제는, 보험 한 건에 여러 사람의 정보가 묶여 있다는 거예요.
"미래에셋생명입니다. 자녀분의 보험 계약 관련 긴급 확인이 필요합니다." 이런 문자가 왔을 때, 실제로 해킹 사고가 터진 직후라면 진짜 안내인지 피싱인지 구분할 수 있을까요. 자녀 이름과 보험 계약 정보를 정확히 알고 접근하면 속을 수밖에 없어요.
전문가들은 건강 정보와 재무 정보가 결합되면 "이 사람은 이런 질환이 있고, 보험금을 이만큼 청구했고, 대출도 있다"는 식으로 개인의 상황을 통째로 프로파일링할 수 있다고 경고합니다. 이게 본인뿐 아니라 피보험자인 배우자, 자녀에게까지 적용된다는 게 은행 해킹과 결정적으로 다른 점이에요.
올해만 봐도 SK텔레콤 2,324만 명, 쿠팡 3,755만 명, 티빙 3,954만 계정이 유출됐습니다. 2026년 1~8월 개인정보 유출 신고가 579건으로, 작년 한 해 전체(447건)를 이미 넘었어요. 개정 개인정보 보호법에 따르면 반복적 침해행위에 매출의 최대 10%까지 과징금을 부과할 수 있고, 실제로 쿠팡이 6,246억 원, SK텔레콤이 1,347억 원을 맞았습니다.
지금 당장 확인해야 할 것
현재 미래에셋생명은 홈페이지 접속을 차단한 상태입니다. M-LIFE 앱, 온라인보험, 디지털ARS가 모두 중단됐고, 보험 관련 업무는 고객센터 전화(1588-0220)로만 처리되고 있어요.
금융감독원은 26일 긴급 현장점검에 착수했고, 위규 사항이 발견되면 정식 검사로 전환할 방침이에요. 금융보안원도 기존 은행권 해킹과의 연관성을 분석 중이고, 화이트해커 전담조직을 6명에서 20명으로 확대했습니다. 보험사 15곳이 버그바운티 프로그램에도 참여하기 시작했고요.
미래에셋생명에 가입한 보험이 있다면 고객센터에 전화해서 유출 여부를 확인하시는 게 좋겠어요. 그리고 보험 가입자라면 누구나 아래 사항을 기억해주세요.
▸ 보험사를 사칭하는 문자·전화에 절대 개인정보를 넘기지 말 것
▸ "보험금 환급" "계약 변경" 연락은 직접 공식 고객센터로 확인할 것
▸ 출처 불분명한 링크는 클릭하지 말 것
▸ 피해 확인 시 손해배상 청구 소송 또는 개인정보 분쟁조정위원회 조정 신청 가능
과징금이 수천억 원이 나와도, 이미 유출된 아내의 수술 기록이나 아이의 건강검진 소견은 돌아오지 않습니다. 보험 가입할 때 건강 정보를 안 넣을 수는 없어요. 안 넣으면 보험금을 못 받으니까요. 그래서 보험사가 그 정보를 지켜야 하는 무게가 은행보다 훨씬 무겁다고 생각합니다. 내 가족의 몸에 대한 기록을 맡기는 거니까요.
