2026년 9월 국내외 금융권 관련 보안 이슈

금융권 대상 유포 악성코드 통계

공격 1단계에서는 Phishing(사용자를 속여 정보를 탈취하는 공격)이 2.1로 가장 높았고, 전월 1.8 대비 상승했다.
공격 2단계에서는 Dropper/Downloader(추가 악성코드를 내려받는 유형)가 1.1로 가장 높았으나, 전월 3.2 대비 하락했다.
공격 3단계에서는 Infostealer(정보 탈취 악성코드)가 0.3으로 가장 높았고, 전월 0.4 대비 하락했다.
유형별로는 Phishing이 27.0%로 1위였고, Dropper/Downloader 25.3%와 Backdoor(원격 접속을 위한 은닉형 악성코드) 13.5%가 뒤를 이었다.
상위 3개 유형이 전체의 약 66%를 차지했으며, 초기 유인부터 추가 악성코드 다운로드, 상주 및 정보 탈취로 이어지는 다단계 공격 체인이 두드러졌다.

파일 타입에서는 HTML이 23.1%로 가장 큰 비중을 차지했고, PE(실행 파일) 15.0%, LNK(바로가기 파일) 8.5%, ELF64 4.7%가 뒤를 이었다.
HTML 비중이 높은 점은 HTML 기반 피싱 페이지와 HTML smuggling(웹문서를 이용해 악성 파일을 숨겨 전달하는 기법) 사용이 지속됨을 보여준다.
확장자 기준으로는 html 31.8%, exe 12.4%, js 9.3%, vbe 5.4% 등이 상위를 차지했다.
상위 10개 확장자에서 80% 기준선을 넘는 파레토 구조가 나타났고, js, vbe, vbs, bat, hta 등 스크립트 계열 확장자가 다수 확인되어 스크립트 기반 실행과 LOLBins(정상 도구를 악용하는 기법) 활용이 활발한 흐름이 보였다.

악성코드 감염과 피싱 메일을 통해 수집된 국내 계정 정보가 Telegram API(메신저 연동 전송 기능)를 통해 공격자에게 유출된 사례가 확인됐다.
사용자들을 속이기 위한 키워드로 송금, 영수증, 음성 메일 등이 사용됐고, 메일 내 악성 링크나 첨부된 HTML 실행 시 로그인 유도 페이지가 확인됐다.
입력된 계정 아이디와 패스워드가 공격자의 Telegram 채팅방으로 유출됐으며, 9월 동안 텔레그램으로 유출된 국내 금융권 계정 수량은 전체의 1.4%였다.

다크웹과 사이버 범죄 포럼에서 데이터베이스 유출 및 판매 사례가 증가하고 있으며, 유출 데이터는 개인정보 도용, 표적 피싱, 랜섬웨어 공격의 기반 정보로 활용될 수 있다.
DarkForums에서 SpaceX가 licindia.in 관련 보험 계약 데이터를 454M 규모라고 주장하며 게시했다.
공개된 필드에는 보험증권 번호, 보험 유형, 고객명, 주소, 휴대전화 번호, 이메일, PAN 번호, 지점 정보 등이 포함된 것으로 적시됐다.
BreachForums에서 ShinyHunters가 Truist Bank Database – Leaked, Download! 게시글로 Truist Bank 관련 데이터베이스를 공유한다고 주장했다.
해당 주장에는 계좌 잔액, 생년월일, 이메일 주소, 직책, 이름, 일부 신용카드 데이터, 전화번호가 포함됐고, 79,000건의 레코드라고 설명됐다.
PwnForums에서 exfilsquad가 Allstate 관련 내부 데이터를 공개한다고 주장했다.
샘플에는 이름, 휴대전화번호, 이메일 주소, 자택 주소, 후보자 ID, 채용 공고 번호, 지원 상태, 입사 절차 상태, 내부 계정 정보 등이 포함된 것으로 보였다.

LockBit 5.0은 taspenlife.com과 연관된 인도네시아 생명보험사 Taspen Life를 피해자로 게시했다.
공개된 샘플에는 보험증권, 보험료 영수증, 세금 신고 및 납부 문서, 계약 변경 신청서, 신분증 사본, 납세자번호 카드, 고객 및 법인 관련 문서가 포함된 것으로 보였다.
Qilin은 Inversiones Bolívar를 보험 관련 기업으로 게시했으나, 현재 화면 기준으로 공개된 샘플이나 규모는 확인되지 않았다.
Storm은 First Secure Bank and Trust, The State Bank, First Secure Community Bank, Insight Credit Union, Johnson Investment Counsel 등을 피해자로 게시했다.
공개된 파일 구조와 샘플 문서에는 재무 문서, 세금 서류, 대출 및 은행 업무 문서, 보험·계약 자료, 신분증 사본, 계정·거래·운영 관련 스프레드시트 등이 포함된 것으로 확인됐다.
이들 사례는 사실일 경우 금융사기, 신원 도용, 계정 탈취, BEC(Business Email Compromise, 업무용 이메일 사기), 고객 대상 피싱 및 추가 침해로 이어질 수 있다.