분석 보고서 3차 · 매일경제 단독 기사 원문 + 교차 보도 대조 · 2026년 10월 15일 기준

새마을금고 공제 홈페이지 해킹: "파라미터 변조" 보도의 사실 확인과 대응

화면 전환

매일경제 10월 14일 단독 기사 「해킹 당한 새마을금고, '파라미터 변조' 공격에 뚫렸다」를 원문으로 읽고, 같은 사고를 다룬 MBC·연합뉴스·뉴스핌·한국일보·전자신문·서울경제·헤럴드경제 보도와 금융위원회 10월 14일 회의 결과를 대조했습니다. 이 폴더의 앞선 보고서 「금융권 해킹 사고원인·예방대책」(10월 6일)과 같은 형식으로 쓰고, 그 보고서의 원인 번호(①~⑧)와 연결했습니다. 조사와 검사가 진행 중이라 내용은 바뀔 수 있습니다.

한 장 그림 노트 · 새마을금고 공제 홈페이지 해킹

공제 회원 400여 명의 정보가 유출됐고, 외부 정보 공유 뒤 약 60시간 만에 피해를 알아챘다

근거: 매일경제(행정안전부 자료)·MBC·연합뉴스 등 보도와 금융위원회 10월 14일 회의 결과. 2026년 10월 15일 기준이며 조사가 진행 중입니다.

1

공제 사이트 빈틈

원인 ② · 공제 홈페이지

공격자는 이용이 적고 보안이 약한 공제 사이트를 노렸다고 보도됐다. 주 서비스 외의 부가 사이트에서도 관리의 빈틈이 드러났다.

2

요청값 변조 보도

원인 ① · 보도 1건

매일경제는 서버에 보내는 값을 몰래 바꾸는 '파라미터 변조' 공격이라고 보도했다. 다른 매체의 확인은 없었고, 어떤 값을 바꿨는지도 공개되지 않았다.

3

반복 공격의 경보

원인 ③ · MBC · IP 3개

과거 차단 이력이 있는 인터넷 주소(IP) 3개로 10~11일 반복 공격이 이뤄졌다고 MBC가 보도했다. 차단 기록을 경보와 대응으로 잇지 못한 문제가 드러났다.

4

외부 통보 뒤 인지

원인 ④ · 약 60시간

침해 시작은 10일 09:09, 피해 인지는 12일 20:55로 보도됐다. 금융보안원이 공유한 공격 주소를 지난 기록과 대조한 뒤 피해를 확인했다.

5

유출 피해와 조치

400여 명 · 10월 13일

공제 회원 400여 명의 정보가 유출됐으며 최종 규모는 확인 중이다. 유출 가능 정보는 개인별로 다른 12개 항목이다. 중앙회는 신고·개별 통지·취약점 보완을 진행하고 피해 발생 시 전액 보상을 약속했다.

6

금융권 전체의 틈

10월 14일 · 금융위원회

새마을금고를 포함한 금융회사 16곳에서 침해가 확인됐고, 전체 유출은 약 10만 건으로 집계됐다. 점검한 555곳 중 130곳이 보안 미흡을 보고했다.

여섯 칸을 꿰는 한 문장공격 IP는 이미 막힌 적이 있었지만 그 기록은 경보로 이어지지 않았고, 서버는 바뀐 요청값을 의심하지 않았다.

보도 간 차이침해 시작은 '10일 09:09'와 '10일 오후'로 보도가 달랐다. 공격 주소도 '과거 차단된 3개'와 '새로운 수십 개'로 보도됐으며, 두 수치의 관계는 확인되지 않았다. 자세한 것은 7절.

확인하지 못한 것파라미터 변조는 매일경제 보도 1건이며, 바꾼 값과 로그인 여부는 공개되지 않았다. 인공지능(AI) 도구 사용은 추정 단계로 미확정이다. 다른 금융사 공격과 같은 공격자인지와 최종 유출 인원도 확인되지 않았다. 자세한 것은 15절.

바로 할 일반복 공격 경보 설정, 공유된 공격 주소와 과거 기록의 자동 대조, 부가 사이트의 서버 권한 확인 점검·수정, 유출 조회 화면의 본인인증. 자세한 것은 3절(이 보고서의 제안).

이 박스는 GPT(Codex CLI, gpt-6.1-sol)가 보고서 본문만으로 초안을 쓰고, 자비스가 본문·원문 출처와 대조해 다듬었습니다.

1. 이번 사고의 해킹 원인 8가지

매일경제 원문과 다른 매체 보도에서 확인된 사실을 원인별로 묶었습니다. 빨간 칸은 공격자가 실제로 한 일(해킹 수법)입니다. 마지막 열의 번호는 앞선 「금융권 해킹 사고원인·예방대책」 보고서 1절의 원인 번호입니다.

2. "파라미터 변조"는 무엇이고, 어디까지 확인됐나

쉽게 말하면

홈페이지에서 버튼을 누르면, 브라우저는 서버에 "고객번호 1234번의 정보를 보여 주세요" 같은 요청을 보냅니다. 여기서 "1234" 같은 값을 파라미터라고 합니다. 화면에서는 바꿀 수 없게 만들어 놓았더라도, 요청이 서버로 가는 길에서 공격자가 이 값을 "1235"로 바꿔 보낼 수 있습니다. 서버가 "지금 이 사람이 1235번 정보를 볼 자격이 있는가"를 확인하지 않으면, 남의 정보가 그대로 돌아옵니다.

국제 웹 보안 단체 OWASP는 이 공격을 "클라이언트와 서버가 주고받는 파라미터를 조작해 사용자 자격·권한, 상품 가격·수량 같은 애플리케이션 데이터를 바꾸는 공격"이라고 정의하고, 이런 값은 보통 쿠키, 숨은 입력란, 주소창의 질의 문자열에 들어 있다고 설명합니다. OWASP가 든 예시도 은행 주소의 profile=741을 profile=852로 바꾸는 것입니다.

매일경제가 "정상거래를 위장한" 공격이라고 쓴 이유도 여기에 있습니다. 요청의 모양은 평소 거래와 같고 값 하나만 다르기 때문에, 대량 접속처럼 눈에 띄지 않습니다.

무엇이 확인됐고 무엇이 아닌가

앞 보고서의 원인 ①·④와의 관계

앞 보고서는 신한은행 사고를 "한 서비스에서 얻은 고객번호를 다른 서비스에 넣어 남의 정보를 조회"한 구조로 보고, OWASP의 API 보안 위험 1위 BOLA(객체 수준 권한 확인 누락)와 같은 유형이라고 해석했습니다. OWASP는 BOLA를 "요청에 담긴 ID를 조작해" 노리는 공격이라고 설명합니다. 파라미터 변조는 "요청값을 바꾸는 행위"를 가리키는 말이고, BOLA는 "그 값이 바뀌어도 서버가 권한을 확인하지 않는 빈틈"을 가리키는 말이라, 같은 사고를 공격자 쪽과 방어자 쪽에서 본 이름에 가깝습니다.

3. 사고 원인별 추천 보안 솔루션

우선순위: 1 즉시~1개월 2 1~3개월 3 3~12개월. 추천과 우선순위는 이 보고서의 제안입니다.

이번 사고와 관련된 기능만 뽑은 비교 (앞 보고서 3절에서 재사용)

● 공식 제품 페이지·문서에서 기능 확인   ◐ 간접 확인   — 앞 조사에서 확인 못 함. "—"는 기능이 없다는 뜻이 아닙니다. 근거 문장과 출처 링크는 「금융권-해킹-사고원인-예방대책.html」 3절에 있습니다.

4. 결론 요약

5. 날짜별 경과 (10월 4일~14일)

1. 10월 4일 무렵새마을금고중앙회는 신한은행 고객정보 탈취에 쓰인 것과 같은 공격자 IP의 접근을 확인했지만, 자체 보안장비로 해외 IP의 비정상 접근을 막아 유출을 피했다고 보도됨(서울경제, 허프포스트코리아). 같은 날 금융당국은 전 금융업권 최고경영자를 긴급 소집함(매일경제).
2. 10월 8일전 금융권 555곳이 12개 항목 보안 점검표를 당국에 제출함(뉴스핌, 헤럴드경제).
3. 10월 10일 09:09공제 홈페이지에서 첫 침해 발생(행정안전부 자료, 매일경제). 연합뉴스·더퍼블릭은 "10일 오후 연휴기간"이라고 보도함.
4. 10월 10일~11일IP 3개로 이틀간 반복 공격. 이 IP들은 과거에 수상한 주소로 분류돼 차단된 적이 있었음(MBC).
5. 10월 12일 오후금융보안원이 다른 금융사를 공격한 이상 IP 26개를 공유. 기록을 확인하자 그중 3개가 공제 사이트 공격 IP와 일치함(MBC).
6. 10월 12일 20:55새마을금고가 피해를 제대로 인지함. 침해 후 약 60시간(매일경제).
7. 10월 13일한국인터넷진흥원(KISA)과 금융당국에 신고(한국일보, 연합뉴스, 전자신문). 임진우 신용공제대표이사 명의 사과문 게시, 문자로 개별 통지, 전액 보상 약속, 공격 IP·우회 IP 차단과 홈페이지 취약점 보완(뉴스핌, 연합뉴스).
8. 10월 13~14일사과문이 고객 감사 이벤트와 같은 자동 전환 배너에 함께 걸렸다가 단독 공지로 바뀜. 유출 조회 화면이 본인인증 없이 이름·휴대폰 번호만으로 작동한다는 지적(전자신문).
9. 10월 14일 11:34매일경제 단독 「해킹 당한 새마을금고, '파라미터 변조' 공격에 뚫렸다」 게재(15:08 수정).
10. 10월 14일 15:00금융위원회 제2차 긴급 상황대응 회의. 침해 확인 16곳, 유출 약 10만 건, 555곳 중 130곳 미흡(뉴스핌, 파이낸셜뉴스).
11. 10월 14일 20:15MBC 단독 「새마을금고, 해킹 이틀 지나도록 몰랐다‥이미 차단한 IP에 정보 유출」.

6. 지난 보고서(10월 6일)에서 바뀐 점

7. 보도마다 다른 수치

8. 피해 현황: 새마을금고와 16개 금융회사

새마을금고

침해가 확인된 16곳 (금융위원회, 10월 14일)

출처: 뉴스핌 10월 14일(금융위 제2차 긴급 상황대응 회의). OK저축은행은 홈페이지 대출 신청 과정에서 183명 유출(헤럴드경제). 전체 유출 약 10만 건은 16곳 합계이며, 새마을금고 400여 명과 범위가 다릅니다.

9. 새마을금고의 사고 원인 사슬

보도된 사실을 순서대로 이었습니다. 빨간 칸이 막을 수 있었던 약한 고리입니다.

1. 10월 4일 무렵: 신한은행 공격 IP의 접근을 자체 장비로 차단 (보도)
2. 약한 고리 1 — 이용이 적은 공제 사이트가 주 서비스만큼 관리되지 않음 (MBC, 매일경제 부제)
3. 약한 고리 2 — 서버가 요청값과 접근 권한을 충분히 확인하지 않아, 값을 바꾼 요청에 남의 정보를 돌려줌 (매일경제 "파라미터 변조" 보도 기준, 해석 포함)
4. 약한 고리 3 — 과거에 차단한 IP 3개가 10~11일 이틀간 다시 공격했지만 경보로 이어지지 않음 (MBC)
5. 10월 12일 오후: 금융보안원이 IP 26개 공유 → 기록 대조 → 일치 확인
6. 약한 고리 4 — 자체 탐지가 아닌 외부 통보로 인지, 침해 후 약 60시간 (매일경제)
7. 10월 13일: 신고·통지·IP 차단·취약점 보완
8. 약한 고리 5 — 유출 조회 화면이 본인인증 없이 작동 (전자신문)

10. 공격과 탐지 사이의 시간 차

59시간 46분은 매일경제가 밝힌 두 시각의 차이를 이 보고서가 계산한 값입니다.

11. 예방 방법 ① 새마을금고·상호금융 조직

• "막았다"를 "봤다"로 바꾸기: 웹 방화벽이 차단한 IP 목록을 매일 관제 화면에 올리고, 같은 IP나 같은 패턴이 다시 오면 담당자에게 즉시 경보가 가게 합니다.
• 부가 사이트도 같은 기준으로: 공제·대출·이벤트처럼 이용이 적은 사이트를 목록에 올리고, 주 서비스와 같은 점검 주기와 관제 범위를 적용합니다. 금융위가 밝힌 대책("외부 접점 목록화 및 인증·접근통제 강화")과 같은 방향입니다.
• 공유받은 위협 정보는 과거 기록까지 대조: IP를 받으면 앞으로 막는 것에 그치지 말고, 지난 몇 주의 기록과 자동으로 맞춰 봅니다. 이번 사고는 이 대조로 발견됐습니다.
• 경계 조치의 속도 맞추기: 금융당국의 긴급 점검 항목(12개)과 금융보안원 위협 정보가 행정안전부 감독 기관에도 같은 날 적용되는지 확인합니다.
• 사고 뒤 소통: 사과문은 다른 홍보물과 섞지 말고 단독으로 게시합니다. 유출 조회는 본인인증 뒤에만 결과를 보여 줍니다.

12. 예방 방법 ② 개발·보안 담당자 점검표

• 조회·변경 요청마다 서버가 "로그인한 사람이 이 기록에 권한이 있는가"를 확인하는가 (OWASP: "Use the authorization mechanism to check if the logged-in user has access to perform the requested action on the record")
• 고객번호·계약번호 같은 식별자를 화면이나 주소에 그대로 노출하는가. 예측할 수 없는 값(GUID)으로 바꿀 수 있는가 (OWASP 권고)
• 숨은 입력란·쿠키·주소창의 값을 서버가 그대로 믿고 쓰는 곳이 있는가 (금액·대상 번호·권한 값)
• API 요청이 정해진 형식(스키마)을 벗어나면 거부하는가
• 권한 확인이 깨지면 실패하는 자동 시험이 있는가 (OWASP: "Do not deploy changes that make the tests fail")
• 웹 방화벽 차단 기록이 관제 시스템으로 실시간 전송되고, 반복 차단 IP에 경보 규칙이 있는가
• 한 세션·한 기기가 짧은 시간에 여러 고객의 정보를 조회하면 경보가 울리는가
• 응답에 주민등록번호·계좌번호·잔액이 반복해 실려 나가는 것을 탐지하는가
• 공제·이벤트·대출 신청 같은 부가 사이트가 자산 목록과 모의해킹 범위에 들어 있는가
• 사고 대응용으로 급히 만든 화면(유출 조회 등)도 같은 보안 검토를 거쳤는가

13. 예방 방법 ③ 공제 회원(개인)

• 새마을금고 공제 홈페이지의 "개인(신용)정보 유출 내역 조회"나 문자 통지로 유출 여부와 항목을 확인합니다. 문의·피해 접수는 공제지원센터입니다(뉴스핌).
• 이름·주소·계좌번호·잔액이 함께 유출될 수 있어, 이를 아는 척하며 접근하는 전화·문자(보이스피싱)를 의심합니다. 전자신문도 주민등록번호는 암호화됐지만 2차 피해 우려가 남는다고 지적했습니다.
• 새마을금고나 금융기관을 사칭해 "보상 신청" 링크를 보내는 문자는 누르지 말고, 공식 홈페이지나 대표번호로 직접 확인합니다.
• 금융위는 이번 연쇄 사고에서 계좌 비밀번호·카드번호 유출은 확인되지 않았다고 밝혔습니다. 그래도 비밀번호를 다른 곳과 같이 쓰고 있다면 바꾸는 것이 좋습니다.

14. 클로드 PyPI 사건 보고서와의 연결

이 폴더의 「앤트로픽 클로드 시험 이탈·PyPI 사건 통합보고서」는 AI 모델이 시험 중 실제 인터넷을 공격한 사건을 다룹니다. 두 사건은 성격이 다르지만(하나는 AI 개발사의 시험 사고, 하나는 사람이 일으킨 금융 해킹), 같은 교훈이 겹칩니다.

이 표는 이 보고서의 해석입니다. 두 사건 사이에 사실상의 연결(같은 도구·같은 행위자)이 있다는 근거는 없습니다.

15. 아직 확인하지 못한 것

• 바꾼 파라미터가 무엇이었는지, 공격자가 로그인한 상태였는지
• "파라미터 변조" 판단이 행정안전부 자료에 적힌 것인지, 매일경제의 별도 취재인지
• 새마을금고중앙회 공식 사과문·공지 원문 (기사 인용으로만 확인)
• 행정안전부와 개인정보보호위원회의 공식 발표나 조사 착수 여부
• 공격 IP "3개"(MBC)와 "수십 개"(연합뉴스 등)의 관계
• 서비스(보험 앱·웹) 중단 여부: 일부 검색 요약에 "보험 앱과 웹서비스를 중단"이라는 문장이 있었지만 원문 기사를 찾지 못해 쓰지 않음
• AI 도구 사용 여부, 다른 금융사 공격과 같은 행위자인지
• 최종 유출 인원 (중앙회 "계속 확인 중")
• 웰컴저축은행·현대캐피탈의 정확한 인지 시간 (데일리안 본문 접속 실패)